Apache Software Foundation ออกอัปเดต Apache HTTP Server เวอร์ชัน 2.4.71 เพื่อแก้ไขช่องโหว่ร้ายแรง CVE-2026-119618 ในโมดูล mod_http2 ซึ่งถูกค้นพบโดยทีม Anthropic OSS Scanner และ Google Cloud Vulnerability Research
ช่องโหว่นี้เกิดจากข้อผิดพลาดในฟังก์ชัน assign_headers() ที่จัดการทรัพยากรร่วมกันไม่ถูกต้อง เมื่อระบบประมวลผลหลายคำขอพร้อมกัน
อาจทำให้หน่วยความจำเสียหาย และเปิดทางให้ผู้โจมตีรันโค้ดบน Server จากระยะไกล (RCE) ด้วยสิทธิ์ของกระบวนการ Web Server โดย
ไม่ต้องเข้าสู่ระบบ
เวอร์ชันที่ได้รับผลกระทบ ได้แก่
- Apache HTTP Server เวอร์ชัน 2.4.55 – 2.4.70
- mod_h2 แบบติดตั้งแยก เวอร์ชัน 2.0.8 – 2.0.42
พบระบบ Cloud จำนวนมากใช้เวอร์ชันที่มีช่องโหว่
Wiz บริษัทด้านความปลอดภัย Cloud พบว่า 64% ของสภาพแวดล้อม Cloud ที่สำรวจมีทรัพยากรที่ใช้ Apache เวอร์ชันที่ได้รับผลกระทบ และประมาณครึ่งหนึ่งมี Server ที่เปิดให้เข้าถึงได้ผ่านอินเทอร์เน็ต
อย่างไรก็ตาม ตัวเลขดังกล่าวยังไม่ได้พิจารณาการตั้งค่าของแต่ละ Server เนื่องจากการใช้ประโยชน์จากช่องโหว่นี้ต้องมีการเปิดใช้งาน HTTP/2 ซึ่ง Apache ปิดใช้งานไว้เป็นค่าเริ่มต้น โดยนักวิจัยจาก watchTowr ยืนยันเงื่อนไขนี้ พร้อมแนะนำให้รีบติดตั้งแพตช์ หรือปิด HTTP/2 ชั่วคราวหากยังอัปเดตไม่ได้
Wiz ประเมินว่าช่องโหว่นี้มีความรุนแรงระดับ Critical แม้ยังไม่มีคะแนนอย่างเป็นทางการ และยังไม่พบ Exploit ที่เผยแพร่ต่อสาธารณะหรือรายงานการโจมตีจริง
สำหรับการอัปเดตครั้งนี้ Apache HTTP Server ยังแก้ไขช่องโหว่อีก 2 รายการ ได้แก่
- CVE-2026-106023 ช่องโหว่ในโมดูล mod_md ที่เกิดจากการอ้างอิงหน่วยความจำผิดพลาด (Null Pointer Dereference) ซึ่งอาจทำให้กระบวนการของ Server หยุดทำงาน
- CVE-2026-109163 ช่องโหว่ระดับความรุนแรงต่ำในโมดูล mod_vhost_alias ที่อาจทำให้เกิดการเขียนทับข้อมูล
การอัปเดต Apache HTTP Server จึงช่วยแก้ไขทั้งช่องโหว่ร้ายแรงใน HTTP/2 และช่องโหว่อีก 2 รายการไปพร้อมกัน
ผู้ดูแล Server ควรทำอย่างไร?
ผู้ดูแลระบบที่ใช้งาน Apache HTTP Server โดยเฉพาะ Server ที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ต ควรดำเนินการดังนี้
- ตรวจสอบเวอร์ชัน Apache และการตั้งค่า HTTP/2 เพื่อประเมินว่า Server มีความเสี่ยงจากช่องโหว่นี้หรือไม่
- อัปเดต Apache HTTP Server เป็นเวอร์ชัน 2.4.71 หรือใช้แพตช์แก้ไขจากผู้ให้บริการระบบ
- ปิด HTTP/2 ชั่วคราวหากยังอัปเดตไม่ได้ โดยประเมินผลกระทบต่อการใช้งานเว็บไซต์ก่อนดำเนินการ
แม้ยังไม่มีรายงานการโจมตีจริง แต่ผู้ดูแล Server ควรตรวจสอบและติดตั้งแพตช์โดยเร็ว เพื่อลดความเสี่ยงจากการถูกโจมตีผ่านช่องโหว่นี้
เสริมความมั่นใจในการดูแล Server ด้วยบริการจาก hostatom พร้อมทีม Support ที่คอยให้คำแนะนำและช่วยเหลือตลอด 24 ชั่วโมง
ติดต่อเราได้ที่
☎️ 0-2107-3466
💚 Line: @hostatom
ที่มา: bleepingcomputer
