Otkrivena je kritična sinkronizacijska ranjivost (CVE-2026-119618) u modulu HTTP/2 Apache HTTP Servera. Ranjivost proizlazi iz utrke uvjeta pri istodobnom izvršavanju funkcije assign_headers() prilikom rukovanja zajedničkim resursima.
Ako se uspješno iskoristi, udaljen i neovlašten napadač može narušiti memoriju i tako izvršiti proizvoljan kod. Prema podacima tvrtke Wiz, 64 posto oblačnih okruženja ima resurse ranjive na CVE-2026-119618, a 51 posto ima javno izložene instance.
Ranjivost pogađa implementacije koje koriste HTTP/2 na Apache HTTP Serveru u verzijama navedenima u tablici. Sigurnosni timovi trebali bi poduzeti sljedeće korake za otklanjanje i ublažavanje: nadograditi Apache HTTP Server na verziju 2.4.71 ili noviju, ažurirati samostalne module te privremeno onemogućiti podršku za HTTP/2 ako popravak nije moguć odmah zbog operativnih ograničenja.
