Apache hefur lagað alvarlegan galla í HTTP/2-hluta vefþjónsins sem getur leyft árásaraðila að keyra kóða á vefþjóninum. Margir WordPress-vefir keyra á Apache, en lagfæringin kemur frá hýsingaraðilanum, ekki úr stjórnborðinu.
Apache, einn algengasti vefþjónn í heimi, gaf 11. nóvember 2026 út útgáfu 2.4.71 sem lagar alvarlegan galla (CVE-2026-119618). Gallinn er í þeim hluta Apache sem sér um HTTP/2, nýrri og hraðari leið vafra til að tala við vefþjóna. Við ákveðnar aðstæður getur hann leyft árásaraðila að keyra eigin kóða á vefþjóninum, án þess að vera skráður inn. Apache metur gallann alvarlegan (critical).
Gallann fundu tveir hópar hvor í sínu lagi: sjálfvirkur kóðaskanni gervigreindarfyrirtækisins Anthropic, sem tilkynnti hann 26. október, og öryggisrannsakendur Google, sem tilkynntu hann 3. nóvember.
Af hverju skiptir þetta WordPress-vefi máli?
Apache er hugbúnaðurinn á vefþjóninum sem tekur á móti heimsóknum og sendir þær áfram til WordPress. Gallinn er því í kerfinu fyrir framan vefinn, ekki í WordPress sjálfu. Þess vegna lagar hvorki uppfærsla WordPress, viðbóta, þema né öryggisviðbóta á borð við Wordfence gallann. Wordfence bendir sjálft á að eldveggur fyrirtækisins keyri of seint í ferlinu til að stöðva hann. Lagfæringin þarf að koma frá þeim sem rekur vefþjóninn.
Hverjir eru í hættu?
- Vefþjónar með Apache 2.4.55 til 2.4.70.
- Aðeins ef HTTP/2 er virkt á Apache-vefþjóninum. HTTP/1.1 er sjálfgefið í Apache, og vefþjónar sem bjóða aðeins HTTP/1.1 eru ekki í hættu vegna þessa galla.
- Vefir á öðrum vefþjónum, til dæmis nginx, eru ekki í hættu vegna þessa galla.
Það flækir málið að vefur getur virst nota HTTP/2 út á við, til dæmis í gegnum Cloudflare, á meðan Apache-vefþjónninn á bak við tekur aðeins við HTTP/1.1. Útgáfunúmerið segir heldur ekki alltaf alla söguna, því Linux-dreifingar setja lagfæringar oft inn í eldri útgáfur.
Er gallinn nýttur?
Samkvæmt samantekt Wordfence hefur rannsakandi sýnt opinberlega að hægt er að láta Apache hrynja með gallanum, en engin opinber gögn sýna enn að tekist hafi að keyra kóða með honum. Öryggisfyrirtækið Wiz vissi ekki um árásir þegar gallinn var gerður opinber. Það getur breyst hratt, svo það borgar sig ekki að bíða.
Hvað þarftu að gera?
- Ef vefurinn er í hýsingu: athugaðu hvort hýsingaraðilinn hafi tilkynnt að gallinn sé lagaður. Ef ekki, spurðu hvort Apache-vefþjónninn taki við HTTP/2 og hvort lagfæringin vegna CVE-2026-119618 sé komin inn.
- Ef þú rekur eigin vefþjón: settu inn Apache 2.4.71 eða lagfærðan pakka frá Linux-dreifingunni og endurræstu Apache.
- Ef lagfæring er ekki komin: slökktu tímabundið á HTTP/2 í Apache þar til hún kemur.
- Hafðu alltaf nýlegt afrit af vefnum. Það kemur ekki í veg fyrir árás, en flýtir fyrir ef illa fer.
Samkvæmt Wisdom keyra 40,7% íslenskra vefja sem Wisdom hefur mælt og svara á WordPress. Hversu margir þeirra eru á Apache með HTTP/2 virkt sést ekki utan frá, svo hver og einn þarf að spyrja sinn hýsingaraðila. Þetta er þriðji alvarlegi gallinn á stuttum tíma í kerfunum undir WordPress, á eftir göllunum í PHP í október og Ghostscript.
