Критическая уязвимость в Apache HTTP Server ставит под удар тысячи серверов по всему миру

Специалисты по кибербезопасности зафиксировали появление крайне опасной уязвимости в самом популярном веб-сервере в мире - Apache HTTP Server. Проблема получила идентификатор CVE-2026-29167 и внесена в Банк данных угроз безопасности информации (BDU) под номером BDU:2026-09758. Речь идёт об ошибке типа "использование после освобождения" (use-after-free) в компоненте mod_lda. Этот модуль отвечает за обработку почтовых сообщений и доставку локальной почты на сервере.

Детали уязвимости

Суть проблемы довольно проста, хотя последствия могут быть катастрофическими. Вредоносный код может "подсунуть" серверу специально сформированный запрос, который заставит его прочитать или записать данные в уже освобождённый участок памяти. Именно это позволяет злоумышленнику, действующему удалённо, выполнить произвольный код или вызвать отказ в обслуживании. Уровень опасности оценивается как критический. По шкале CVSS 3.1 базовая оценка составила 9,8 балла из 10. Это означает, что атака не требует предварительной аутентификации и специальных привилегий. Злоумышленнику достаточно лишь отправить на сервер вредоносный пакет данных по сети.

Под ударом оказались практически все популярные дистрибутивы Linux. Среди них Red Hat Enterprise Linux версий с 7 по 10, Debian GNU/Linux версий с 11 по 13, а также Ubuntu 22.04 LTS, 24.04 LTS и даже ещё не вышедшая Ubuntu 26.04 LTS. Уязвимыми признаны все версии веб-сервера Apache HTTP Server с 2.4.0 по 2.4.68 включительно.

Эксплуатация уязвимости основана на манипулировании структурами данных в памяти. Когда сервер обрабатывает запрос, модуль mod_lda выделяет память для временного хранения информации. Если в процессе обработки возникает ошибка или запрос прерывается, память может быть освобождена. Однако указатель на неё остаётся в программе. Вредоносный код может перезаписать эту уже свободную область своими данными. Когда сервер попытается снова обратиться к указателю, он выполнит код злоумышленника.

Для понимания масштаба угрозы можно вспомнить, что Apache HTTP Server используется на более чем 30% всех веб-сайтов мира. Это означает, что миллионы серверов потенциально уязвимы. Особенно опасна ситуация для провайдеров хостинга, государственных информационных систем и крупных корпораций, которые используют эту платформу для критически важных приложений.

Производитель уже подтвердил наличие уязвимости и выпустил рекомендации по её устранению. Решение очевидно - необходимо как можно скорее обновить программное обеспечение. Патчи доступны на официальном сайте Apache, а также в репозиториях Red Hat, Debian и Ubuntu. Специалистам по информационной безопасности стоит действовать незамедлительно, поскольку для данного типа ошибок уже существуют готовые методы эксплуатации в открытом доступе.

Что делать администраторам, если прямое обновление невозможно? Необходимо временно отключить модуль mod_lda, если он не используется в конфигурации сервера. Кроме того, рекомендуется ограничить доступ к веб-серверу из внешних сетей, настроив межсетевые экраны. Однако эти меры лишь снижают риск, не устраняя саму уязвимость.

Важно отметить, что это не первый случай, когда в Apache HTTP Server обнаруживается ошибка использования памяти после освобождения. Ранее подобные проблемы находили в модулях mod_ssl и mod_proxy. Показательно, что каждый раз такие ошибки приводили к критическим последствиям. Это говорит о необходимости внедрения более строгих практик безопасного программирования при разработке сетевого программного обеспечения.

С точки зрения бизнеса, атака через эту уязвимость может привести к полной компрометации сервера. Злоумышленник получает возможность выполнять произвольные команды, что означает кражу баз данных, установку вредоносного ПО или программ-вымогателей. Не стоит забывать и о риске утечки конфиденциальной информации, что грозит серьёзными штрафами и репутационными потерями.

Итог прост: любой администратор, обслуживающий веб-серверы на базе Apache HTTP Server, должен в ближайшие часы проверить наличие этой уязвимости в своей инфраструктуре и установить обновление. Это тот случай, когда лучше перестраховаться, чем потом разбирать последствия взлома. Угроза реальна, а время на реагирование ограничено.

Детали уязвимости

Ссылки