Apache phát hành bản vá khẩn cấp cho lỗ hổng RCE nghiêm trọng trong HTTP/2

• Lỗ hổng nghiêm trọng: CVE-2026-119618 cho phép kẻ tấn công thực thi mã từ xa (RCE) thông qua module HTTP/2.
• Phạm vi ảnh hưởng: Apache HTTP Server phiên bản 2.4.55 đến 2.4.70 và mod_h2 phiên bản 2.0.8 đến 2.0.42.
• Giải pháp tức thời: Nâng cấp ngay lập tức lên phiên bản 2.4.71 hoặc tạm thời vô hiệu hóa HTTP/2 nếu chưa thể cập nhật.

Dự án Apache HTTP Server vừa chính thức phát hành bản cập nhật bảo mật quan trọng nhằm khắc phục một lỗ hổng nghiêm trọng trong module HTTP/2. Lỗ hổng này, được định danh là CVE-2026-119618, có khả năng cho phép kẻ tấn công từ xa thực thi mã tùy ý trên máy chủ web mục tiêu. Đây là một cảnh báo khẩn cấp đối với các quản trị viên hệ thống đang vận hành các dịch vụ web sử dụng giao thức HTTP/2.

Phân tích kỹ thuật về lỗ hổng CVE-2026-119618

Theo các nhà nghiên cứu bảo mật, lỗ hổng nằm trong hàm assign_headers() của module mod_http2. Vấn đề cốt lõi xuất phát từ cơ chế xử lý đồng thời (concurrency) không an toàn, nơi các tài nguyên dùng chung được truy cập mà không có cơ chế khóa (locking) phù hợp. Điều này dẫn đến tình trạng xung đột bộ nhớ, cho phép hai luồng xử lý cùng tác động vào một vùng nhớ tại cùng một thời điểm.

Hệ quả của việc này là gây ra hỏng hóc cấu trúc Heap (Heap corruption), vùng nhớ mà chương trình sử dụng trong quá trình thực thi. Kẻ tấn công có thể lợi dụng lỗi này để thao túng luồng thực thi của ứng dụng, dẫn đến khả năng thực thi mã từ xa (Remote Code Execution - RCE). Do tính chất nghiêm trọng, lỗ hổng này được đánh giá ở mức độ cao, có khả năng bị khai thác để phát tán mã độc tự động tương tự như các loại sâu máy tính.

Chi tiết các lỗ hổng khác được khắc phục

Cùng với bản vá cho CVE-2026-119618, Apache cũng đã xử lý hai lỗ hổng khác trong cùng đợt cập nhật này:

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Các quản trị viên cần thực hiện quy trình kiểm tra và cập nhật hệ thống ngay lập tức. Việc ưu tiên hàng đầu là nâng cấp lên phiên bản Apache HTTP Server 2.4.71. Đối với các hệ thống sử dụng mod_h2 độc lập từ GitHub, hãy đảm bảo phiên bản đang sử dụng nằm ngoài dải từ 2.0.8 đến 2.0.42.

Nếu việc nâng cấp không thể thực hiện ngay lập tức do các ràng buộc về hạ tầng, giải pháp giảm thiểu tạm thời (workaround) được khuyến nghị là chuyển đổi cấu hình máy chủ sang sử dụng giao thức HTTP/1.1. Tuy nhiên, cần lưu ý rằng thay đổi này có thể ảnh hưởng đến hiệu suất và trải nghiệm người dùng.

Các bước thực hiện hardening:

• Kiểm tra phiên bản: Sử dụng lệnh httpd -v hoặc kiểm tra file changelog của nhà cung cấp hệ điều hành (Linux distribution) để xác nhận phiên bản đã được vá.
• Giám sát nhật ký (Log Monitoring): Theo dõi các dấu hiệu bất thường trong file log như tiến trình worker bị khởi động lại liên tục hoặc các lỗi crash đột ngột, đây có thể là dấu hiệu của việc kẻ tấn công đang dò quét lỗ hổng.
• Cấu hình tường lửa: Hạn chế quyền truy cập vào các cổng dịch vụ web từ các dải IP không xác định để giảm thiểu bề mặt tấn công.

Việc phát hiện lỗ hổng này bởi các nhóm nghiên cứu từ Anthropic và Google Cloud Vulnerability Research cho thấy sự quan tâm đặc biệt của cộng đồng bảo mật đối với tính an toàn của giao thức HTTP/2. Các quản trị viên không nên chờ đợi điểm số CVSS chính thức mà cần chủ động thực hiện các biện pháp phòng vệ ngay từ bây giờ.