Apache Software Foundation пусна Apache HTTP Server 2.4.69 на 1 октомври 2026 г., отстранявайки пролуки в сигурността, които биха могли да позволят изпълнение на код, сривове на сървъра, изтичане на данни и заобикаляне на автентикацията при специфични условия. Apache посочва актуализацията като най-добрата налична версия на своя уеб сървър.
Предоставеният бюлетин за сигурност изброява 20 уязвимости: пет с умерена степен на сериозност и 15 с ниска. Повечето засягат версии от 2.4.0 до 2.4.68, но излагането на риск зависи от активираните модули, настройките на сървъра и достъпа на атакуващия. Рисковете от изпълнение на код имат важни ограничения и не трябва да се разглеждат като засягащи всяка инсталация на Apache.
Уязвимости в Apache HTTP Server
CVE-2026-63292 засяга mod_vhost_alias. Външен клиент би могъл да предизвика срив на сървъра или потенциално да изпълни код чрез Host заглавие, надвишаващо 8 192 байта. Експлоатацията изисква VirtualDocumentRoot да използва спецификатор за формат на име на хост, а LimitRequestFieldSize да бъде увеличен над стойността по подразбиране.
CVE-2026-42356 включва избор на грешен хендлър от страна на Apache след определени вътрешни пренасочвания от CGI програми. Пренасоченият файл би могъл да бъде изпълнен като CGI, но той трябва вече да съществува в директория с активиран CGI и да няма разширение, разпознавано от mod_mime. Засегнати са версии от 2.4.60 до 2.4.68.
Тези условия са от значение: нито един от двата дефекта не осигурява неограничено изпълнение на код срещу конфигурации по подразбиране. Предишни анализи на изпълнение на код в Apache HTTP Server разгледаха отделен дефект от тип double-free в HTTP/2, коригиран във версия 2.4.67.
Следната таблица обобщава предоставения бюлетин за сигурност. Освен ако не е посочено друго, засегнатите версии са 2.4.0–2.4.68; всички изброени корекции за сигурност са включени във версия 2.4.69.
| CVE | Модул или компонент | Сериозност | Уязвимост или въздействие |
|---|---|---|---|
| CVE-2026-42528 | mod_dav | Moderate | Препълване на споделено заключване срива дъщерни процеси; до 2.4.68.* |
| CVE-2026-42356 | CGI handling | Low | Ограничено изпълнение на код; 2.4.60–2.4.68. |
| CVE-2026-46729 | mod_heartmonitor | Low | Срив поради празен указател (null pointer) при unicast слушател |
| CVE-2026-47360 | mod_session_cookie | Low | Бисквитките за сесия достигат бекенда след пренасочвания. |
| CVE-2026-48005 | mod_auth_digest | Low | Фалшифицирани заглавия принуждават към повторна автентикация |
| CVE-2026-56153 | mod_charset_lite | Low | Препълване на динамичната памет (heap overflow) в finish_partial_char |
| CVE-2026-56154 | mod_rewrite | Low | Уязвимост от тип use-after-free по време на lookahead |
| CVE-2026-56449 | mod_proxy_html | Low | Манипулиран отговор причинява запис извън границите (out-of-bounds write) |
| CVE-2026-57941 | mod_http2 | Moderate | Уязвимост use-after-free в споделен буфер и запис в паметта |
| CVE-2026-58415 | mod_dav_fs | Low | Разкриване на базата данни с свойства на WebDAV |
| CVE-2026-59685 | Windows path handling | Moderate | Запис извън границите при разширяване на кратки имена на файлове. |
| CVE-2026-59797 | mod_ssl | Low | Дефект при обработката на привилегии в SSLRequire изрази. |
| CVE-2026-63045 | mod_proxy_ftp | Low | Манипулиран PASV отговор пренасочва връзки за данни. |
| CVE-2026-63292 | mod_vhost_alias | Moderate | Препълване на стека; сривове или възможно изпълнение на код. |
| CVE-2026-63686 | mod_xml2enc | Low | Неуспешна конверсия на кодирането срива обработката в проксито. |
| CVE-2026-63718 | mod_proxy_uwsgi | Low | Пренос на отговори (response smuggling); 2.4.30–2.4.68 |
| CVE-2026-73636 | mod_auth_digest | Low | Прихванати данни за автентикация могат да бъдат повторени (replay) |
| CVE-2026-73637 | mod_auth_digest | Low | Едновременни заявки увреждат състоянието на автентикация |
| CVE-2026-79768 | mod_userdir | Low | Разкриване на информация чрез еквивалентност на пътища. |
| CVE-2026-93546 | mod_dav_fs | Moderate | Препълване на пространството от имена; сривове и увреждане на база данни; до 2.4.68. |
Потребителите на WebDAV са изложени на рискове за наличността и данните. CVE-2026-93546 позволява на автентикиран клиент с права за запис да предизвика срив на работни процеси и трайно да увреди базата данни със свойства на дадена директория чрез PROPPATCH заявки, деклариращи множество XML пространства от имена.
Прокси конфигурациите също изискват внимание. CVE-2026-63045 позволява на ненадежден FTP сървър да насочи връзката за данни на пряко прокси към друг хост. CVE-2026-47360 може да предаде бисквитки за сесия към бекенд въпреки намерението за премахването им по време на вътрешни пренасочвания.
Администраторите трябва да преминат към Apache HTTP Server 2.4.69, както се препоръчва в публикуваните записи за CVE, и да проверят дали засегнатите конфигурации присъстват в техните среди.
Приоритетно трябва да се обновят сървъри, използващи уязвимите настройки за виртуални хостове, CGI пренасочвания или WebDAV функционалности. Прегледайте бюлетина за сигурност на Apache заедно с отделните CVE записи за подробности относно засегнатите версии и последващи корекции. Apache отбелязва, че въздействието върху сигурността може да варира между различните платформи.