Celah Kritis Apache HTTP/2 Bisa Eksekusi Kode Jarak Jauh Tanpa Autentikasi

Celah kritis pada modul mod_http2 di Apache HTTP Server memungkinkan penyerang jarak jauh menjalankan kode di server tanpa perlu autentikasi. Lubang yang dilacak sebagai CVE-2026-119618 itu menimpa versi 2.4.55 hingga 2.4.70 dan sudah ditambal di versi 2.4.71.

Hanya server yang mengaktifkan HTTP/2 yang terdampak. Red Hat menilai kerentanan ini 9,8 dari 10 pada skala CVSS. Penyerang yang bisa menjangkau server berpotensi mengambil kendali penuh atas proses server tersebut.

Rilis perbaikan 2.4.71 keluar sehari sebelum laporan Red Hat dipublikasikan. Selain menambal mod_http2, versi itu juga memperbaiki crash di mod_md yang dinilai important dan penulisan satu byte berlebih ke memori stack di mod_vhost_alias yang dinilai low.

Kronologi Penemuan dan Rilis Patch Apache 2.4.71

Celah ini dilaporkan pada 26 Oktober oleh OSS Scanner milik Anthropic, layanan pemindaian gratis untuk proyek open source yang memakai model AI perusahaan tersebut. Anthony Weems dan Simon Scannell dari Google Cloud Vulnerability Research melaporkannya pekan berikutnya.

Rilis 2.4.71 keluar sebagai jawaban resmi proyek Apache HTTP Server. Red Hat kemudian menerbitkan penilaiannya pada 11 November, disusul rilis paket perbaikan untuk Red Hat Enterprise Linux 9 dan 10 pada hari yang sama.

Dalam penilaiannya, Red Hat menyebut "public research has demonstrated a reliable exploit" terhadap server dengan konfigurasi bawaan yang mengaktifkan mod_http2. Vendor Linux itu tidak menyebutkan atau menautkan riset tersebut.

Keterangan itu bertabrakan dengan pernyataan perusahaan keamanan Wiz pada hari yang sama. Wiz menyatakan belum ada exploit yang tersedia dan belum ada laporan eksploitasi di alam liar.

Kontradiksi ini penting bagi admin sistem. Satu pihak mengklaim exploit andal sudah didemonstrasikan, pihak lain menyebut belum ada kode serangan yang beredar. Apa pun posisinya, jendela paparan tetap terbuka bagi server yang belum diperbarui.

Kerentanan sebelumnya di jalur yang sama, CVE-2026-23918, sudah ditambal di versi 2.4.67 yang rilis 4 Mei. Server yang diperbarui ke rilis itu, atau versi lebih baru hingga 2.4.70, tetap menjalankan versi yang terdampak celah baru ini.

Siapa yang Terdampak dan Bagaimana Status Tiap Distribusi

Modul HTTP/2 hanya berjalan bila direktif Protocols mengaktifkannya. Direktif itu memakai h2 untuk HTTP/2 di atas TLS dan h2c untuk HTTP/2 di atas TCP biasa. Pengaturan bisa berlaku untuk seluruh server atau satu virtual host saja, sehingga admin perlu memeriksa keduanya.

Build mandiri modul ini, yang dirilis di GitHub sebagai mod_h2, terdampak dari versi 2.0.8 hingga 2.0.42. Proyek mod_h2 belum menerbitkan rilis perbaikan. Daftar rilisnya berhenti di 2.0.42, versi terakhir yang terdampak, dan repositorinya sudah read-only sejak diarsipkan pada 9 Juni.

Berikut status perbaikan di sejumlah platform menurut data proyek Apache, Red Hat, pelacak Debian, dan pelacak Amazon Linux:

• Rilis proyek Apache HTTP Server: sudah diperbaiki di versi 2.4.71.
• Red Hat Enterprise Linux 9: diperbaiki lewat RHSA-2026:98981, paket mod_http2-2.0.26-7.el9_9.1.
• Red Hat Enterprise Linux 10: diperbaiki lewat RHSA-2026:98978, paket mod_http2-2.0.29-5.el10_3.1.
• RHEL 9.4 untuk SAP Solutions, 9.6, 9.8, 10.0, dan 10.2 EUS: diperbaiki lewat RHSA-2026:98968, RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953, dan RHSA-2026:98979.
• Red Hat Enterprise Linux 6, 7, dan 8: tidak terdampak, tidak perlu perbaikan.
• Red Hat JBoss Core Services dan Red Hat Hardened Images: terdampak, belum ada perbaikan tercantum.
• Debian unstable (sid): diperbaiki di apache2 2.4.71-1.
• Debian bookworm, trixie, dan forky: masih rentan, belum ada perbaikan tercantum.
• Amazon Linux 2 (Core), Amazon Linux 2023, dan Amazon Linux 2027 Preview: perbaikan masih tertunda.
• Ubuntu: pelacak CVE-nya belum punya halaman untuk celah ini saat The Hacker News memeriksanya.

Red Hat menilai celah ini Important, bukan Critical, pada RHEL 9 dan 10. Paket mod_http2 mereka memberi setiap stream HTTP/2 alokator memori sendiri, yang membuat serangan jauh lebih sulit. RHEL 8 dan versi sebelumnya tidak memuat kode rentan tersebut.

Mengapa Isolasi Memori per Stream Mengubah Tingkat Risiko

Penilaian berbeda antara proyek Apache dan Red Hat bukan tanpa alasan teknis. Skor 9,8 dari proyek Apache mencerminkan kondisi modul secara umum, sementara Red Hat mengukur build-nya sendiri yang sudah membawa perubahan arsitektural.

Alokator memori terpisah untuk tiap stream HTTP/2 mempersempit ruang gerak penyerang. Upaya menimpa memori di satu stream tidak otomatis memberi akses ke struktur data stream lain, sehingga jalan menuju eksekusi kode menjadi jauh lebih berliku.

Perbedaan ini bukan hal sepele bagi tim operasi. Dua organisasi bisa membaca skor yang sama dan mengambil keputusan berbeda soal urgensi penambalan. Yang satu melihat angka 9,8 dan langsung menyiapkan jadwal darurat, yang lain melihat label Important dan memasukkannya ke siklus pemeliharaan rutin.

Namun keduanya sepakat pada satu hal: perbarui. Red Hat tetap merilis paket perbaikan untuk RHEL 9 dan 10 pada 11 November, sehari setelah penilaiannya keluar. Ketersediaan patch menjadi sinyal paling jelas bahwa risiko tidak diabaikan.

Bagi pengguna build mandiri mod_h2, situasinya lebih rumit. Repositori yang sudah diarsipkan berarti tidak akan ada rilis perbaikan dari jalur itu. Satu-satunya jalan adalah bermigrasi ke rilis resmi Apache HTTP Server atau mematikan HTTP/2 sama sekali.

Dampak pada Server Produksi dan Langkah Mitigasi

Advisory Apache HTTP Server tidak menawarkan workaround. Bagi admin yang belum bisa memperbarui, Wiz menyarankan menghapus h2 dan h2c dari direktif Protocols, menyisakan Protocols http/1.1. Langkah yang sama berlaku untuk server yang memakai build mod_h2 mandiri.

Dampak terbesar menyasar organisasi yang menjalankan HTTP/2 demi performa. Protokol itu mempercepat pemuatan halaman lewat multiplexing dan kompresi header, sehingga mematikannya berarti menerima penurunan kinerja sebagai ganti keamanan.

Server yang terpapar tanpa patch berisiko kehilangan kendali atas prosesnya. Penyerang tanpa kredensial bisa menjalankan kode, dan dari situ mengambil alih proses Apache sepenuhnya. Pada server yang melayani banyak virtual host, satu celah bisa membuka jalan ke seluruh layanan di mesin itu.

Langkah yang masuk akal untuk tim operasi:

1. Periksa direktif Protocols di konfigurasi global dan setiap virtual host untuk memastikan status HTTP/2.
2. Perbarui ke Apache HTTP Server 2.4.71 atau paket distribusi yang sudah menambal celah ini.
3. Bila pembaruan belum memungkinkan, hapus h2 dan h2c dari Protocols dan jalankan http/1.1 saja.
4. Untuk pengguna mod_h2 mandiri, migrasikan ke rilis resmi Apache karena repositori proyek sudah diarsipkan.
5. Pantau pembaruan dari pelacak keamanan Debian, Amazon Linux, dan Ubuntu bagi yang memakai distribusi tersebut.

Detail teknis lengkap tersedia di laporan The Hacker News dan di advisory resmi proyek Apache HTTP Server.

Analisis Redaksi: Skor CVSS Tinggi, Tapi Keputusan Ada di Tangan Admin

Angka 9,8 pada skala CVSS mudah memicu kepanikan, tetapi angka itu tidak bercerita banyak tentang risiko nyata di lapangan. Red Hat menilai celah yang sama sebagai Important, bukan Critical, karena build-nya memakai alokator memori terpisah per stream. Dua penilaian atas satu lubang yang sama menunjukkan bahwa skor kerentanan selalu bergantung pada konteks arsitektur.

Yang lebih mengganggu adalah ketidaksepakatan soal status exploit. Red Hat menyebut riset publik telah mendemonstrasikan exploit andal terhadap konfigurasi bawaan. Wiz menyatakan belum ada exploit tersedia dan belum ada eksploitasi di alam liar. Keduanya keluar pada hari yang sama. Admin yang menunggu kejelasan sebelum bertindak sedang mempertaruhkan server pada informasi yang belum tuntas.

Kisah mod_h2 mandiri memberi pelajaran lain. Repositori yang diarsipkan pada 9 Juni dan daftar rilis yang berhenti di 2.0.42 berarti pengguna build itu tidak akan pernah menerima perbaikan. Ketergantungan pada proyek yang sudah tidak dirawat adalah utang keamanan yang baru ditagih saat kerentanan kritis muncul.

Bagi sebagian besar organisasi, pilihannya sederhana meski tidak nyaman: tambal sekarang, atau matikan HTTP/2 sampai penambalan selesai. Menunda dengan alasan menunggu klarifikasi exploit bukan strategi, melainkan perjudian.