Apache HTTP Server

Apache HTTP Server mod_http2: errore di sincronizzazione che può portare a esecuzione di codice

CVE-2026-119618 · CVE-2026-106023 Gravità non indicata

Prodotto: Apache HTTP Server
Pubblicata: 11 novembre 2026
Gravità (CVSS): non indicata
Probabilità di sfruttamento nei prossimi 30 gg (EPSS): 0.4%

Il problema, secondo i dati ufficiali

Nel modulo mod_http2 di Apache HTTP Server, la funzione assign_headers() usa una risorsa condivisa in esecuzione concorrente senza una sincronizzazione corretta. Questo può portare a esecuzione di codice da remoto (RCE).
La falla riguarda anche il modulo mod_h2 distribuito da GitHub.
Chi può sfruttarla e a quali condizioni: dato non disponibile nel punteggio ufficiale.
La scheda raccoglie 2 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.

Cosa fare

I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.

Versioni interessate

Apache HTTP Server: dalla 2.4.55 alla 2.4.70 inclusa

Ne parlano

CVE-2026-119618 | Apache HTTP Server mod_http2 Race Condition Remote Code Execution Vulnerability — Horizon3, 12 novembre 2026
Apache Patches Critical HTTP Server RCE Found by Anthropic, Google — SecurityWeek, 12 novembre 2026
Rilevate vulnerabilità in Apache HTTP Server — CSIRT Italia, 12 novembre 2026
Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotely — The Hacker News, 12 novembre 2026

Fonti ufficiali

httpd.apache.org — avviso del produttore

Descrizione ufficiale (in inglese)

Concurrent Execution using Shared Resource with Improper Synchronization vulnerability in Apache HTTP Server's mod_http2 in assign_headers() can lead to RCE. This issue affects Apache HTTP Server: from 2.4.55 through 2.4.70. Affected releases of mod_h2 from GitHub: from 2.0.8 through 2.0.42.

Non sai se ti riguarda?

Se usi Apache HTTP Server e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.

Intestazioni di sicurezza Controllo SSL Contattaci Tutte le allerte

Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.