آسیب‌پذیری بحرانی Apache HTTP/2 (CVE-2026-23918) امکان DoS و احتمال اجرای کد از راه دور را فراهم می‌کند

بنیاد نرم‌افزاری آپاچی (Apache Software Foundation) به‌روزرسانی‌های امنیتی برای رفع چندین آسیب‌پذیری در سرور HTTP خود منتشر کرده است. مهم‌ترین این آسیب‌پذیری‌ها با شناسه CVE-2026-23918 و امتیاز CVSS 8.8 ردیابی می‌شود و می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution) و حملات منع سرویس (DoS) شود. این نقص امنیتی که در نسخه 2.4.66 سرور HTTP آپاچی وجود دارد، در نسخه 2.4.67 برطرف شده است. آسیب‌پذیری مذکور از نوع «آزادسازی دوگانه حافظه (double-free)» در ماژول mod_http2 است و زمانی فعال می‌شود که مهاجم یک فریم HEADERS پروتکل HTTP/2 را بلافاصله با یک فریم RST_STREAM ارسال کند.

بارتلومیج دمیتروک (Bartlomiej Dmitruk)، کاشف این آسیب‌پذیری و هم‌بنیان‌گذار Striga.ai، در گفتگو با The Hacker News توضیح داد که بهره‌برداری برای ایجاد حمله منع سرویس بسیار ساده است و تنها با یک اتصال TCP و دو فریم، بدون نیاز به احراز هویت، قابل اجرا است. همچنین مسیر اجرای کد از راه دور نیازمند وجود تخصیص‌دهنده حافظه mmap در کتابخانه APR (Apache Portable Runtime) است که به‌صورت پیش‌فرض در سیستم‌های مبتنی بر دبیان (Debian) و تصویر رسمی داکر (Docker) آپاچی وجود دارد. دمیتروک تأکید کرد که سطح حمله گسترده است، زیرا mod_http2 در نسخه‌های پیش‌فرض آپاچی ارائه می‌شود و HTTP/2 در محیط‌های تولیدی به‌طور گسترده فعال است. به کاربران توصیه می‌شود هرچه سریع‌تر به‌روزرسانی‌های امنیتی اخیر را اعمال کنند.