https://opennet.me/openforum/vsluhforumID3/142354.html Опубликован релиз HTTP-сервера Apache 2.4.71, в котором устранена уязвимость (CVE-2026-119618) в модуле mod_http2, которой присвоен критический уровень опасности. Уязвимость позволяет удалённо выполнить свой код на сервере при отправке специально оформленного запроса по протоколу HTTP/2. Уязвимость проявляется начиная с версий Apache httpd 2.4.55 и также затрагивает отдельный модуль mod_h2, распространяемый через GitHub. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66673<br> https://opennet.me/openforum/vsluhforumID3/142354.html#33 Thu, 12 Nov 2026 11:17:26 GMT Либо я переоценил очевидность сарказма в своём сообщении, либо времена и люди сейчас слишком серьёзные.<br> https://opennet.me/openforum/vsluhforumID3/142354.html#32 Thu, 12 Nov 2026 11:16:09 GMT Почему больше всего CVE на C(++/#/...) и PHP, наверное догадываешься смутно?<br>Просто неуловимые Джо да, неуловимы.<br> https://opennet.me/openforum/vsluhforumID3/142354.html#31 Thu, 12 Nov 2026 10:50:13 GMT Речь не о TLS, а о классической плейнтекстовой первой версии HTTP vs новых бинарных со сжатием<br> https://opennet.me/openforum/vsluhforumID3/142354.html#30 Thu, 12 Nov 2026 10:47:39 GMT Apache в таком сетапе вряд ли хендлит HTTP/2, а слушает локально по обычному оттестированному HTTP/1.1 и без TLS. Более того, nginx нормализует всякие хедеры и пути в HTTP, не позволяя эксплуатировать ещё кучу разных потенциальных проблем парсера. Но в таком случае у нас два парсера с разной кодовой базой, что позволяет использовать *другую* категорию уязвимостей...<br> https://opennet.me/openforum/vsluhforumID3/142354.html#29 Thu, 12 Nov 2026 10:38:06 GMT &gt; Им подобная уязвимость не страшна.<br><br>Зато страшна подстановка рекламы, телеметрии и в целом слежки.<br> https://opennet.me/openforum/vsluhforumID3/142354.html#28 Thu, 12 Nov 2026 10:04:28 GMT &gt; При успешной эксплуатации атакующий может добиться <br>&gt; изменения памяти вне выделенного буфера. <br><br>"Никогда такого не было и вот опять!" (с)<br><br>&gt; Уязвимость примерно в одно время выявлена исследователями из компаний Anthropic и Google.<br><br>Ну надо же, ыскуственный ыдъйот оказался уменее чем мясные мешки))<br> https://opennet.me/openforum/vsluhforumID3/142354.html#27 Thu, 12 Nov 2026 09:56:41 GMT Не, ну так-то где grpc, а где apache - но разница в производительности, если что - вполне измеримая даже у меня, а не у гугла...<br> https://opennet.me/openforum/vsluhforumID3/142354.html#26 Thu, 12 Nov 2026 09:54:26 GMT &gt; не включена по умолчанию<br><br>Настоящее время: "ИИ, настрой мне апач!"...<br> https://opennet.me/openforum/vsluhforumID3/142354.html#25 Thu, 12 Nov 2026 09:48:48 GMT Т.е. безопасТные CVE- это хорошо.<br><br>CVE-2025-62518 тоже хорошо, видимо.<br>