ב-1 באוקטובר שחרר צוות Apache HTTP Server את גרסה 2.4.69, ואיתה תיקון ל-20 חולשות. צוות האבטחה של אפאצ'י דירג 15 מהן "low" ו-5 "moderate". אף אחת לא דורגה "critical". שלוש שעות אחר כך הופיע בשלוש מהן ציון CVSS 9.8, קריטי, והוא לא הגיע מאפאצ'י.

סקירה כללית

httpd הוא שרת הווב הפתוח שמריץ חלק ניכר מהאתרים בעולם, ובנוי ממודולים: mod_rewrite לשינוי כתובות, mod_http2 לפרוטוקול HTTP/2, mod_ssl להצפנה. שלוש החולשות שקיבלו 9.8 יושבות בשלושת המודולים האלה, והן באגים מסוגים שונים לגמרי.

בשתיים מהן השרת ממשיך להשתמש בבלוק זיכרון אחרי שהוא כבר שוחרר. לסוג הבאג הזה קוראים Use After Free, והוא עלול לאפשר לתוקף לכתוב לזיכרון שהשרת לא מצפה לו, ומשם להרצת קוד. השלישית אחרת: כלל ההרשאות SSLRequire ב-mod_ssl מרשה שימוש בפונקציות שניגשות לקבצים, גם כשההגדרה באה מ-.htaccess שכתב משתמש עם הרשאות בסיסיות.

מזהים: CVE-2026-56154, CVE-2026-57941, CVE-2026-59797
סוג: Use After Free (CWE-416) בשתיים, ניהול הרשאות לקוי (CWE-269) בשלישית
מוצר: Apache HTTP Server, המודולים mod_rewrite, mod_http2 ו-mod_ssl
גרסאות מושפעות: 2.4.0 עד 2.4.68
גרסה מתוקנת: 2.4.69
ניצול בפועל: לא, אף אחת מהשלוש אינה ברשימת ה-KEV של CISA

ציר זמן

25 במאי 2026: Nebula Security מדווחת לאפאצ'י על החולשה ב-mod_rewrite.
15 ביוני 2026: מדווחת החולשה ב-mod_http2.
28 ביוני 2026: מדווחת החולשה ב-mod_ssl.
1 באוקטובר, 16:03 UTC: אפאצ'י מפרסמת את שלוש הרשומות, בדירוג מילולי ובלי ווקטור CVSS.
1 באוקטובר, 18:05 UTC: ההודעות יוצאות לרשימת oss-security, וגרסה 2.4.69 משוחררת.
1 באוקטובר, 19:05 UTC: CISA-ADP מוסיפה לשלושתן ווקטור זהה בציון 9.8.

איך הניצול עובד

מבין השלוש, הקלה להסביר היא זו שב-mod_http2. חיבור HTTP/2 אחד נושא כמה בקשות במקביל, ולכל חיבור יש buffer זמני משותף בשם bbtmp. re-entrancy, במילים של אפאצ'י, היא שהקוד נכנס לעצמו שוב לפני שהמעבר הקודם נגמר, כך ששתי בקשות נוגעות בו בו-זמנית. אחת משחררת אותו, השנייה ממשיכה לכתוב לכתובת הישנה, וזו חולשת ה-Use After Free. מה שנכתב לשם כבר לא בשליטת השרת.

כאן נגמר מה שפורסם. כל אחת מהשלוש קיבלה שורת תיאור אחת. על mod_rewrite כתוב רק שהבאג מתעורר בשימוש ב-lookahead, כלל שמריץ בקשת משנה פנימית כדי לבדוק לאן כתובת תוביל. באיזו הגדרה mod_ssl חשוף לא נכתב בכלל.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

הציון אומר תקיפה מהרשת, בלי אימות ובלי שהקורבן יעשה דבר, עם פגיעה מלאה בסודיות, בשלמות ובזמינות. בולט שהוא זהה לחלוטין בשלוש רשומות שמתארות שלושה באגים שונים, ושאפאצ'י, שכתבה את הקוד, קראה לשתיים מהן low.

איפה למצוא Proof of Concept (PoC)

אין כרגע PoC פומבי לאף אחת מהשלוש, וגם לא ניתוח טכני עצמאי: הן דווחו בחשאי, תוקנו יחד בגרסה אחת, ואף מדווח לא פרסם כתיבה משלו. ההפניה הסמכותית היחידה היא דף החולשות הרשמי של Apache httpd 2.4, שמרכז את כל 20 הרשומות עם הדירוג של אפאצ'י.

מי שמריץ httpd בגרסה שבין 2.4.0 ל-2.4.68 אמור לעדכן ל-2.4.69 בלי קשר לשאלה איזה מספר צודק, כי 20 תיקונים בגרסה אחת לא מחכים להכרעה על הציון.