Apache HTTP Server 2.4.71, 원격 코드 실행 가능한 HTTP/2 취약점 수정
Apache HTTP Server 프로젝트가 11월 11일 공개한 2.4.71은 HTTP/2 모듈의 CVE-2026-119618을 수정했습니다. 힙 메모리 손상이 원격 코드 실행으로 이어질 수 있어 Apache는 이 취약점을 Critical로 분류했으며, 영향 범위는 httpd 2.4.55~2.4.70과 GitHub 배포 mod_h2 2.0.8~2.0.42입니다.
Apache HTTP Server 프로젝트는 11월 11일 보안 업데이트 2.4.71을 공개해 CVE-2026-119618을 수정했습니다. 이 결함은 HTTP/2 모듈 mod_http2의 assign_headers()에서 공유 자원을 다루는 동시 실행이 제대로 동기화되지 않는 문제입니다. Apache는 힙 메모리 손상이 원격 코드 실행으로 이어질 수 있다고 설명하며, 위험도를 Critical로 분류했습니다.
Apache 문서에 따르면 mod_http2는 HTTP/2 요청을 별도의 작업자 스레드에 맡기고, 처리 결과를 모아 클라이언트로 보냅니다. HTTP/2 연결 하나에서 여러 요청을 병렬로 처리할 수도 있습니다. 서버에서 HTTP/2 기능을 사용하려면 Protocols 지시문에 TLS 연결용 h2 또는 평문 TCP 연결용 h2c를 지정합니다.
수정 커밋은 Content-Type 헤더가 있고 요청 입력이 끝나 본문이 더 오지 않는 경우, 본문 길이 0을 명시하는 경로를 바꿨습니다. 이전에는 값을 req->headers에 기록했지만, 수정본은 요청의 입력 헤더인 r->headers_in에 기록합니다. 이 수정은 2.4.71에 포함됐습니다.
Apache가 밝힌 영향 범위는 httpd 2.4.55~2.4.70입니다. GitHub에서 별도로 배포한 mod_h2는 2.0.8~2.0.42가 영향을 받습니다.
Red Hat은 11월 11일 RHEL 9.8 EUS용 mod_http2 보안 업데이트를 공개했습니다. 이 업데이트는 CVE-2026-119618과 CVE-2026-57941을 함께 다루며, Red Hat은 자체 권고에서 위험도를 Important로 분류했습니다. Apache도 보안 영향 등급이 플랫폼에 따라 달라질 수 있다고 안내합니다.