Sebuah kerentanan sinkronisasi kritis dengan nomor identifikasi CVE-2026-119618 telah terdeteksi pada modul HTTP/2 (mod_http2) di dalam Apache HTTP Server. Celah ini berakar dari kondisi balapan (race condition) eksekusi konkuren dalam fungsi assign_headers() saat memproses sumber daya bersama.
Ancaman dan Risiko Kerentanan
Kerentanan tingkat keparahan tinggi ini ditemukan secara terpisah oleh Anthropic bersama Tim Riset Kerentanan Google Cloud. Masalah tersebut terletak pada fungsi assign_headers() di dalam modul HTTP/2 ketika menangani thread konkuren yang membagikan sumber daya tanpa sinkronisasi yang tepat.
Pelaku kejahatan jarak jauh yang tidak diautentikasi dapat memanfaatkan celah ini untuk melakukan korupsi memori heap demi mencapai eksekusi kode arbitrer (RCE). Serangan tersebut memungkinkan pihak tidak berwenang menjalankan perintah dengan hak istimewa dari proses peladen web.
Pada lingkungan komputasi awan, instans Apache yang disusupi dan menjalankan beban kerja dalam kontainer atau virtualisasi dapat menjadi titik awal pergerakan lateral. Kondisi ini berpotensi membahayakan layanan mikro di sekitarnya atau titik akhir metadata awan.
Dampak dan Langkah Mitigasi
Berdasarkan data Wiz, sebanyak 64 persen lingkungan awan memiliki sumber daya yang rentan terhadap CVE-2026-119618, sementara 51 persen lingkungan awan mempunyai instans yang terekspos secara publik. Kerentanan ini berdampak pada penerapan yang memanfaatkan kemampuan HTTP/2 pada rentang versi Apache HTTP Server tertentu.
Tim operasi keamanan dan teknik disarankan untuk segera melakukan pembaruan instalasi ke Apache HTTP Server versi 2.4.71 atau yang lebih baru guna mengatasi kondisi balapan pada assign_headers(). Bagi pengelola pemenuhan modul mandiri dari GitHub, modul perlu ditingkatkan ke versi di atas 2.0.42.
Jika perbaikan langsung belum dapat dilakukan karena hambatan operasional, dukungan HTTP/2 dapat dinonaktifkan sementara untuk menghilangkan jalur serangan. Pengguna dapat menyunting berkas konfigurasi seperti httpd.conf untuk membatasi protokol aktif hanya pada HTTP/1.1 dengan menghapus referensi h2 serta h2c.
Sumber: Hacker News: Front Page
