קרן Apache פרסמה ב-1 באוקטובר 2026 חולשה במודול mod_rewrite, הרכיב ששרת ה-HTTP שלה מריץ כדי לשכתב כתובות לפני שהוא מגיש תשובה. החולשה מתעוררת כשההגדרה משתמשת בתחביר lookahead, וקיבלה ציון 9.8 מתוך 10. לא ידוע על ניצול שלה בשטח נכון לעדכון האחרון.

מה החולשה?

כדי להחליט איך לשכתב כתובת, mod_rewrite יכול לשאול את השרת מה הוא היה עושה עם כתובת אחרת, לפני שהוא באמת מגיש אותה. התחביר שמפעיל את זה הוא %{LA-U:HTTP:...}, וקוראים לו lookahead, הצצה קדימה. הרכיב מריץ בירור פנימי, מקבל תשובה ועובד איתה.

הבעיה היא במה שקורה לזיכרון של אותו בירור פנימי אחרי שהוא נגמר. התוכנה משחררת את האזור שהוקצה לו, אבל ממשיכה להחזיק מצביע אליו ולהשתמש בו. למצב הזה קוראים שימוש בזיכרון אחרי שחרורו, ובסיווג הרשמי הוא CWE-416. אזור זיכרון ששוחרר אינו נעלם, הוא פשוט מוחזר למאגר וזמין לשימוש הבא, ולכן תוקף שמצליח להשפיע על מה שייכנס לשם יכול לשלוט על נתונים שהשרת מתייחס אליהם כאל שלו.

וקטור ה-CVSS מתאר גישה מהרשת, בלי פרטי אימות ובלי צורך בפעולה של מישהו בצד השני, עם פגיעה גבוהה בסודיות, בשלמות ובזמינות. זה השילוב שמייצר את הציון 9.8.

מי מושפע?

לפי ההודעה מושפעות גרסאות 2.4.0 עד 2.4.68 של שרת ה-HTTP של Apache. זהו שרת האתרים הנפוץ בעולם, והוא רץ מתחת לחלק גדול מהאתרים הישראליים, בייחוד אתרים שמתארחים על שרתי לינוקס אצל ספקי אחסון מקומיים.

אבל יש כאן תנאי שמצמצם מאוד את התמונה, ושווה לשים לב אליו לפני שנבהלים. החולשה קשורה לשימוש ב-lookahead, כלומר להגדרה מסוימת בקובץ התצורה. שרת שמריץ גרסה פגיעה אך אינו משתמש בתחביר הזה נמצא במצב אחר מזה שכן. בדיקת ההגדרות היא הצעד שמכריע כאן, לא רק בדיקת מספר הגרסה.

לגולש הפרטי אין כאן מה לעשות. זו חולשה בצד השרת, ומי שמטפל בה הוא מי שמתחזק את האתר.

האם מנוצלת בפועל?

נכון לעדכון האחרון החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים משתמשים בהן בפועל. זה אומר שאין ידיעה על ניצול, ולא שהחולשה אינה ניתנת לניצול. הציון הגבוה ופרסום הפרטים ברשימת התפוצה הפומבית oss-security הם שני דברים שמקצרים בדרך כלל את הזמן עד שמופיע ניסיון ראשון.

מה עושים?

ראשית בדקו איזו גרסה רצה אצלכם. הפקודה httpd -v או apache2 -v מדפיסה אותה. אם המספר נמצא בטווח 2.4.0 עד 2.4.68, הגרסה שלכם בטווח המושפע, ויש לעבור לגרסה שיצאה אחרי 2.4.68.

שנית בדקו אם ההגדרה בכלל קיימת אצלכם. חיפוש של המחרוזת LA-U בקובצי התצורה של השרת, כולל קבצים שמצורפים מתוך תיקיות נוספות, יגיד לכם אם mod_rewrite אצלכם משתמש ב-lookahead. אם כן, זו סיבה להקדים את העדכון.

דף החולשות הרשמי של Apache מרכז את הרשומות לפי גרסה, וזה המקום לראות בו את מספר הגרסה המדויק שסוגר את החולשה ואת שאר התיקונים שיצאו באותה הזדמנות.