تم تحديد ثغرة خطيرة في وحدة HTTP/2 الخاصة بـApache HTTP Server، mod_http2، والتي تسمح للمهاجمين عن بُعد بتنفيذ التعليمات البرمجية على الخوادم المتأثرة. تؤثر الثغرة، التي تم تتبعها كـCVE-2026-119618، على الإصدارات من 2.4.55 إلى 2.4.70.
تم الإبلاغ عن الثغرة بواسطة OSS Scanner الخاص بـAnthropic في 26 أكتوبر 2026، وبشكل مستقل بواسطة Anthony Weems وSimon Scannell من Google Cloud Vulnerability Research في 3 نوفمبر 2026. تم إصدار إصلاح في الإصدار 2.4.71 في 11 نوفمبر 2026.
قامت Red Hat بتقييم الثغرة بدرجة CVSS تبلغ 9.8، مما يشير إلى خطورتها البالغة. يمكن استغلال المشكلة بدون مصادقة إذا تمكن المهاجم من الوصول إلى الخادم. أظهرت الأبحاث العامة استغلالاً موثوقاً ضد الخوادم التي تم تمكين mod_http2 عليها.
أفادت Wiz أن 64% من البيئات السحابية تحتوي على موارد تشغل إصدارات Apache المتأثرة. ومع ذلك، اعتباراً من 11 نوفمبر 2026، لم تكن هناك تقارير عن استغلال في البرية، ولم يكن هناك استغلال متاح.
قامت Red Hat بشحن إصلاحات لـRed Hat Enterprise Linux 9 و10 في نفس اليوم الذي تم فيه إصدار إصلاح Apache. ومع ذلك، لم ينشر مشروع mod_h2 المستقل بعد إصداراً ثابتاً للثغرة.