تنبيه أمني من مركز الاستجابة الأمنية كارن آي تي (KSRC)

رقم الإرشاد: KSRC-2026-11121 | تاريخ النشر: 12 نوفمبر 2026

تنفيذ التعليمات البرمجية عن بُعد الحرج في وحدة mod_http2 لخادم Apache HTTP
CVE-2026-119618

الملخص

تم اكتشاف ثغرة حرجة من نوع حالة سباق (race condition) في وحدة mod_http2 التابعة لخادم Apache HTTP. تحمل هذه الثغرة المعرّف CVE-2026-119618 وتسمح لمهاجم عن بُعد غير مصادق عليه بإحداث تلف في ذاكرة الكومة (heap corruption) وتحقيق تنفيذ التعليمات البرمجية عن بُعد على الخوادم التي يكون فيها بروتوكول HTTP/2 مفعّلاً.

تم تقييم الثغرة بدرجة خطورة 9.8 (حرجة) وفق معيار CVSS v3.1. تتأثر إصدارات Apache HTTP Server من 2.4.55 حتى 2.4.70. تم إصلاح المشكلة في الإصدار 2.4.71 الصادر في 11 نوفمبر 2026. مواد إثبات المفهوم متاحة علناً.

نظرة تقنية

يسمح بروتوكول HTTP/2 بإرسال طلبات متعددة بشكل متزامن عبر اتصال واحد. تعالج وحدة mod_http2 هذه الطلبات باستخدام عدة خيوط تنفيذ (threads). بسبب عدم كفاية التزامن في دالة assign_headers()، يمكن لخيط عامل واحد الكتابة في ذاكرة تخص خيطاً آخر.

يؤدي هذا الوصول المتزامن غير الصحيح إلى تلف هياكل الكومة الداخلية للخادم. يمكن للمهاجم الذي يصل إلى خادم ضعيف ويتفاوض على HTTP/2 أن يستغل هذه الحالة بشكل موثوق وينفذ تعليمات برمجية عشوائية في سياق عملية Apache دون الحاجة إلى مصادقة.

تتأثر فقط التكوينات التي تفعّل HTTP/2 (عبر توجيه Protocols الذي يحتوي على h2 أو h2c). الخوادم المقيدة بـ HTTP/1.1 غير ضعيفة. كما تتأثر إصدارات mod_h2 المستقلة من 2.0.8 حتى 2.0.42.

الأنظمة المتأثرة

• Apache HTTP Server 2.4.55 – 2.4.70
• mod_h2 المستقل 2.0.8 – 2.0.42
• أي توزيعة تقوم بتغليف الإصدارات أعلاه مع تفعيل HTTP/2 (بما في ذلك بيئات المؤسسات والاستضافة الشائعة)

الإصدار المُصلح: Apache HTTP Server 2.4.71 (صدر في 11 نوفمبر 2026).

بدأت توزيعات لينكس الرئيسية ولوحات التحكم الخاصة بالاستضافة في إصدار الحزم المحدّثة.

حالة الاستغلال

• الإفصاح العلني وإصدار التصحيح في 11 نوفمبر 2026.
• تم الإبلاغ بشكل مستقل من قبل Anthropic OSS Scanner وباحثين من Google Cloud Vulnerability Research.
• ظهرت مواد إثبات المفهوم على GitHub بعد الإفصاح بفترة قصيرة.
• تم إثبات الاستغلال الموثوق ضد التكوينات الافتراضية التي تستخدم event MPM مع تفعيل mod_http2.
• لم تُدرج بعد في كتالوج CISA للثغرات المستغلة المعروفة (KEV) حتى تاريخ نشر هذا الإرشاد.

التوصيات

1. الإجراء الفوري: قم بترقية Apache HTTP Server إلى الإصدار 2.4.71 أو أحدث، أو طبّق التحديث الأمني المقدم من نظام التشغيل أو مزود الاستضافة.
2. بعد الترقية، أعد تشغيل خدمة Apache (أو أعد تحميلها إذا أكدت وثائق الحزمة أن إعادة التحميل السلسة كافية) لضمان تحميل الوحدة المُصلحة.
3. إذا لم تكن الترقية الفورية ممكنة، عطّل HTTP/2 بالتأكد من أن توجيه Protocols يحتوي فقط على http/1.1 (أزل h2 وh2c). تحقق من التغيير باستخدام عميل يطلب HTTP/2، ثم أعد تحميل Apache.
4. تأكد مما إذا كان HTTP/2 مفعّلاً على كل مضيف افتراضي؛ الإعداد العام لـ HTTP/1.1 لا يلغي تكويناً على مستوى المضيف الافتراضي يفعّل h2.
5. راجع سجلات الوصول وسجلات النظام بحثاً عن أنماط طلبات متزامنة غير معتادة أو سلوك غير متوقع للعمليات حول وبعد 11 نوفمبر 2026.
6. بالنسبة لبيئات الاستضافة المُدارة أو cPanel، تأكد من مزود الخدمة أن حزم Apache العاجلة التي تحتوي على الإصلاح قد تم تطبيقها.
7. في حال الاشتباه في حدوث اختراق، تعامل مع النظام على أنه مخترق: اعزله، واحفظ الأدلة الجنائية، ودوّر بيانات الاعتماد، وقم بمراجعة شاملة للسلامة.

نظراً للانتشار الواسع لخادم Apache HTTP عبر المواقع العامة والوكلاء العكسيين وواجهات التطبيقات، ينبغي على المؤسسات التعامل مع هذا كتصحيح طارئ ذي أولوية عالية.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.