Apache HTTP Server dasturida kritik zaiflik aniqlandi: HTTP/2 orqali serverlarda masofadan kod bajarilişi mumkin!

Apache HTTP Server dasturida tajovuzkorlarga serverda masofadan turib zararli kodlarni bajariş imkonini berişi mumkin bölgan kritik zaiflik aniqlandi. CVE-2026-119618 identifikatori bilan röyxatga olingan uşbu zaiflik HTTP/2 protokoli bilan boğliq bölib, undan muvaffaqiyatli foydalaniş server faoliyatiga jiddiy xavf tuğdirişi mumkin.

Mazkur muammo Apaçe HTTP Serverʼning HTTP/2 sörovlarini qayta işlaş uçun möljallangan mod_http2 modulida aniqlangan.

Zaiflik qanday işlaydi?

HTTP/2 protokoli bir vaqtning özida bir neçta sörovni qayta işlaş imkonini beradi. Bu veb-saytlarning tezroq işlaşiga yordam beradi. Biroq aniqlangan zaiflik sababli server bir neçta parallel sörovni qayta işlayotgan vaqtda maʼlumotlar bilan işlaş jarayonida xatolik yuzaga kelişi mumkin.

Xususan, mod_http2 modulidagi assign_headers() funksiyasi sörov sarlavhalarini qayta işlaş jarayonida umumiy xotira resurslaridan foydalaniş bilan boğliq muammoga ega. Bir vaqtning özida bajarilayotgan jarayonlar örtasidagi muvofiqlaştiriş yetarli darajada taʼminlanmagani sababli xotira yaxlitligi buzilişi mumkin.

Natijada tajovuzkor uşbu xatolikdan foydalanib, server xotirasiga zarar yetkazişi va ayrim holatlarda masofadan turib zararli kodni bajarişga erişişi mumkin.

Zaiflikning asosiy xavfi şundaki, undan foydalaniş uçun tajovuzkorga serverda oldindan hisob qaydnomasi yoki tizimga kiriş huquqi talab etilmasligi mumkin.

Qaysi versiyalar zaiflikka moyil?

Apaçe HTTP Server işlab çiquvçilari maʼlumotlariga köra, quyidagi versiyalar mazkur muammodan taʼsirlangan:

  • Apache HTTP Server 2.4.55 dan 2.4.70 gacha bölgan versiyalar;
  • mustaqil mod_h2 modulining 2.0.8 dan 2.0.42 gacha bölgan versiyalari.

Zaiflik Apache HTTP Server 2.4.71 versiyasida bartaraf etilgan.

Muhim jihat: mazkur zaiflik HTTP/2 protokoli yoqilgan serverlarga taalluqli. HTTP/2 işlatilmaydigan va faqat HTTP/1.1 protokoli orqali işlaydigan serverlar uşbu zaiflikdan taʼsirlanmaydi.

Apaçe HTTP Serverʼning 2.4.71 versiyasida boşqa zaifliklar ham tuzatildi

Yangi versiyada CVE-2026-119618 bilan bir qatorda yana ikkita xavfsizlik muammosi bartaraf etilgan:

  • CVE-2026-106023 — mod_md modulida yuzaga keladigan xotira bilan boğliq xatolik. Uşbu zaiflik serverning yordamçi jarayoni töxtab qolişiga olib kelişi mumkin.
  • CVE-2026-109163 — mod_vhost_alias modulida xotira çegarasidan taşqariga bir bayt maʼlumot yozilişi bilan boğliq zaiflik.

Şu sababli Apaçe HTTP Server dasturidan foydalanayotgan taşkilotlar faqat asosiy kritik zaiflikni emas, balki yangi versiyada tuzatilgan boşqa muammolarni ham hisobga olişi lozim.

Tizim administratorlariga tavsiyalar

Mazkur zaiflikdan kelib çiqişi mumkin bölgan xavflarni kamaytiriş uçun quyidagi çoralarni köriş tavsiya etiladi:

  1. Apache HTTP Server dasturini yangilaş. Imkon qadar tezroq 2.4.71 yoki undan keyingi xavfsiz versiyaga ötiş.
  2. HTTP/2 sozlamalarini tekşiriş. Serverda HTTP/2 protokoli yoqilgan yoki yoqilmaganini aniqlaş.
  3. Yangilaş imkoni bölmagan holatda, vaqtinçalik çora sifatida HTTP/2 protokolini öçirib turiş. Biroq bu usul dasturiy yangilanişning örnini bosmaydi.
  4. Server jurnallarini (log-fayllarni) tahlil qiliş. Şubhali HTTP/2 sörovlari, noodatiy ulanişlar va server jarayonlarining kutilmagan töxtaş holatlarini tekşiriş.
  5. Qöşimça modullarni tekşiriş. Serverda işlatilayotgan mod_http2 va boşqa modullarning versiyalarini aniqlaş.
  6. Linux distributivlari uçun yangilanişlarni tekşiriş. Ayrim distributivlar xavfsizlik tuzatişlarini mavjud paketlarga alohida kiritişi mumkin. Şu sababli faqat versiya raqamiga emas, balki distributiv işlab çiquvçisining xavfsizlik tavsiyalariga ham eʼtibor qaratiş zarur.

Xulosa: Apache HTTP Server keng qöllaniladigan veb-server dasturlaridan biri bölgani sababli, undagi uşbu kritik zaiflik köplab veb-resurslar va server infratuzilmasi uçun xavf tuğdirişi mumkin. Taşkilotlarga foydalanilayotgan Apaçe HTTP Server versiyalarini zudlik bilan tekşiriş, zarur yangilanişlarni örnatiş hamda server xavfsizligini muntazam nazorat qilib boriş tavsiya etiladi.