Apache แก้ไขช่องโหว่ RCE ระดับวิกฤตใน HTTP Server พบโดย Anthropic และ Google

Apache ประกาศออกแพตช์ความปลอดภัยระดับวิกฤตสำหรับ HTTP Server เพื่อแก้ไขช่องโหว่ที่อาจส่งผลให้เกิดการรันโค้ดจากระยะไกล (RCE) โดยไม่ต้องยืนยันตัวตน หลังจากนักวิจัยจาก Anthropic และ Google ค้นพบช่องโหว่ดังกล่าวโดยอิสระ

ช่องโหว่นี้ถูกติดตามภายใต้รหัส CVE-2026-119618 ส่งผลกระทบต่อ Apache HTTP Server เวอร์ชัน 2.4.55 ถึง 2.4.70 โดยต้นเหตุของปัญหาอยู่ใน mod_http2 ซึ่งเป็นโมดูลหลักที่ใช้จัดการทราฟฟิก HTTP/2 โดยทาง Apache ได้แก้ไขปัญหานี้แล้วในเวอร์ชัน 2.4.71 เมื่อวันที่ 11 พฤศจิกายนที่ผ่านมา

ลักษณะของช่องโหว่เกี่ยวข้องกับสภาวะชิงทรัพยากร (race condition) ซึ่งเกิดจากการที่หลายเธรดพยายามเข้าถึงทรัพยากรที่ใช้ร่วมกันอย่างไม่เหมาะสม จนนำไปสู่ความเสียหายของหน่วยความจำในเซิร์ฟเวอร์

Red Hat ระบุว่าผู้โจมตีสามารถใช้ประโยชน์จากปัญหานี้เพื่อรันคำสั่งตามต้องการและเข้าควบคุมกระบวนการทำงานของเซิร์ฟเวอร์ได้ทันที โดยให้คะแนนความรุนแรง CVSS สูงถึง 9.8 พร้อมย้ำว่าช่องโหว่นี้จะส่งผลกระทบเฉพาะเซิร์ฟเวอร์ที่เปิดใช้งาน HTTP/2 เท่านั้น ส่วนเซิร์ฟเวอร์ที่รับเฉพาะ HTTP/1.1 จะปลอดภัย

สำหรับการค้นพบครั้งนี้ Apache ให้เครดิต แก่ระบบ OSS Scanner ของ Anthropic ที่รายงานเข้ามาเมื่อวันที่ 26 ตุลาคม ขณะที่ทีมวิจัย Google Cloud Vulnerability Research โดย Anthony Weems และ Simon Scannell ได้รายงานช่องโหว่เดียวกันตามมาในวันที่ 3 พฤศจิกายน

ทางด้าน Wiz บริษัทความปลอดภัยบนคลาวด์ รายงาน ว่าพบทรัพยากรบนคลาวด์กว่า 64% รัน Apache เวอร์ชันที่ได้รับผลกระทบ และมีอินสแตนซ์ที่เปิดสู่สาธารณะถึง 51% อย่างไรก็ตาม ตัวเลขนี้เป็นเพียงการตรวจสอบเวอร์ชันซอฟต์แวร์ ซึ่งไม่ได้หมายความว่าทุกเซิร์ฟเวอร์จะถูกเจาะระบบได้เสมอไป ขึ้นอยู่กับการกำหนดค่าเฉพาะจุดด้วย

ปัจจุบันมีการเผยแพร่ PoC บน GitHub แล้ว ซึ่งแสดงให้เห็นถึงการทำให้หน่วยความจำเสียหายและการค้างของระบบ แต่ยังไม่มีการสาธิตวิธีรันโค้ดจากระยะไกลให้เห็น นอกจากนี้ยังไม่มีรายงานการโจมตีในสภาพแวดล้อมจริง (in the wild) ณ ขณะนี้

คำแนะนำสำหรับผู้ดูแลระบบคือให้รีบอัปเดตเป็น Apache HTTP Server 2.4.71 หรือใช้แพ็กเกจที่จัดหาโดยผู้จำหน่ายโดยเร็วที่สุด หากยังไม่สามารถอัปเดตได้ในทันที การปิดใช้งาน HTTP/2 จะช่วยป้องกันการโจมตีได้ชั่วคราว

นอกจากนี้ Defiant ยังได้ เตือน ผู้ใช้ WordPress ว่าการอัปเดตตัวซอฟต์แวร์ WordPress เองไม่สามารถแก้ปัญหานี้ได้ เนื่องจากเป็นช่องโหว่ระดับโครงสร้างพื้นฐานของเว็บเซิร์ฟเวอร์

นอกเหนือจากช่องโหว่หลักแล้ว ในเวอร์ชัน 2.4.71 ยังได้แก้ไขช่องโหว่อื่นๆ ได้แก่ CVE-2026-106023 ซึ่งเป็นปัญหาระดับสำคัญที่ทำให้เซิร์ฟเวอร์หยุดทำงาน และ CVE-2026-109163 ซึ่งเป็นปัญหา stack buffer overflow ระดับความรุนแรงต่ำอีกด้วย