Otkrivena je kritična sinhronizacijska ranjivost (CVE-2026-119618) u modulu HTTP/2 Apache HTTP Servera. Ranjivost potječe iz konkurentnog izvršavanja uvjeta trke unutar funkcije assign_headers() prilikom rukovanja zajedničkim resursima.
Ako se uspješno iskoristi, udaljeni, neovlašteni napadač može korumpirati memoriju kako bi postigao izvršavanje proizvoljnog koda. Prema podacima tvrtke Wiz, 64% oblačnih okruženja ima resurse ranjive na CVE-2026-119618, a 51% oblačnih okruženja ima javno izložene instance.
Ranjivost pogađa implementacije koje koriste mogućnosti HTTP/2 na Apache HTTP Serveru unutar verzija navedenih u tablici. Sigurnosni timovi trebali bi izvršiti sljedeće korake za otklanjanje i ublažavanje: nadograditi Apache HTTP Server na verziju 2.4.71 ili noviju, ažurirati samostalne module i privremeno onemogućiti podršku za HTTP/2 ako nije moguće odmah popraviti zbog operativnih ograničenja.
