Lỗ hổng RCE nghiêm trọng trong Apache HTTP Server

Apache HTTP Server đang đối mặt với một lỗ hổng nghiêm trọng mang mã CVE-2026-119618, cho phép kẻ tấn công từ xa không cần xác thực thực thi mã tùy ý (RCE) trên máy chủ. Lỗ hổng nằm trong module HTTP/2 (mod_http2) và đã có bản vá, song phạm vi ảnh hưởng được đánh giá là rất rộng.

Theo công bố, lỗi phát sinh từ race condition (điều kiện tranh chấp) khi nhiều luồng xử lý đồng thời cùng truy cập tài nguyên dùng chung bên trong hàm assign_headers(). Việc đồng bộ hóa không đúng cách khiến kẻ tấn công có thể làm hỏng bộ nhớ heap (heap corruption), rồi từ đó leo thang thành thực thi mã tùy ý với đặc quyền của tiến trình web server.

Phạm vi và mức độ rủi ro

Lỗ hổng được phát hiện độc lập bởi Anthropic và Nhóm Nghiên cứu Lỗ hổng của Google Cloud. Tính đến thời điểm công bố, chưa có mã khai thác (exploit) công khai và chưa ghi nhận trường hợp bị khai thác trong thực tế.

Dữ liệu của Wiz Research cho thấy mức độ phơi nhiễm đáng lo ngại:

• 64% môi trường cloud có tài nguyên dễ bị ảnh hưởng bởi CVE-2026-119618.
• 51% môi trường cloud có instance bị phơi ra Internet công khai.

Cần lưu ý rằng các con số này chưa tính đến yếu tố cấu hình thực tế của từng hệ thống. Trong môi trường cloud, một instance Apache bị chiếm quyền chạy workload dạng container hoặc máy ảo có thể trở thành điểm khởi đầu để di chuyển ngang (lateral movement), đe dọa các microservice lân cận hoặc endpoint metadata của cloud.

Phiên bản bị ảnh hưởng

Lỗ hổng tác động đến các triển khai sử dụng HTTP/2 trên Apache HTTP Server trong các dải phiên bản sau:

• Apache HTTP Server (Apache Software Foundation): từ 2.4.55 đến 2.4.70; bản vá từ 2.4.71 trở lên.
• module mod_h2 (mã nguồn mở trên GitHub): từ 2.0.8 đến 2.0.42; bản vá từ 2.0.24 trở lên.

Khuyến nghị xử lý

Đội ngũ vận hành và an ninh cần triển khai các bước sau:

1. Nâng cấp hệ thống: cập nhật Apache HTTP Server lên phiên bản 2.4.71 hoặc mới hơn. Bản phát hành này xử lý race condition trong assign_headers().
2. Cập nhật module độc lập: nếu quản lý các bản build mod_h2 riêng từ GitHub, nâng module lên phiên bản mới hơn 2.0.42.
3. Giảm thiểu tạm thời: nếu chưa thể vá ngay, hãy tạm tắt HTTP/2 để loại bỏ vector tấn công. Chỉnh sửa file cấu hình (như httpd.conf) để giới hạn giao thức về HTTP/1.1 bằng cách xóa các tham chiếu h2 và h2c:

# Chỉ cho phép giao thức HTTP/1.1
Protocols http/1.1

Khách hàng của Wiz có thể dùng truy vấn và khuyến cáo dựng sẵn trong Wiz Threat Center để rà soát các instance dễ bị tổn thương trong môi trường của mình.

Góc nhìn

Với các doanh nghiệp và kỹ sư vận hành tại Việt Nam, đây là lời nhắc về rủi ro của những thành phần hạ tầng tưởng như đã quá quen thuộc. Apache HTTP Server xuất hiện rất phổ biến trong hệ thống nội bộ, reverse proxy và các dịch vụ container, nên một lỗi ở tầng này có thể ảnh hưởng dây chuyền.

Trước mắt, đội vận hành nên kiểm tra ngay phiên bản Apache và mod_h2 đang chạy, ưu tiên vá các instance có cổng HTTP/2 phơi ra Internet. Nếu việc nâng cấp bị vướng bởi ràng buộc vận hành, việc tạm giới hạn giao thức về HTTP/1.1 là phương án đánh đổi hợp lý để giảm bề mặt tấn công trong lúc chờ bản vá.