Apache HTTP/2 குறைபாடு CVE-2026-119618: உங்கள் சர்வர்களை எவ்வாறு சரிபார்த்து 2.4.71 பதிப்பிற்கு பேட்ச் செய்வது

HTTP/2-வை பயன்படுத்தும் ஒரு வெப் சர்வரை, ஒருபோதும் உள்நுழையாத ஒரு அந்நியரால் கைப்பற்ற முடியும். Apache HTTP Server-இன் HTTP/2 தொகுதியில் உள்ள தீவிரக் குறைபாடான CVE-2026-119618-இன் பின்னணியில் உள்ள ஆபத்து இதுவே ஆகும், மேலும் இதற்கான தீர்வு ஏற்கனவே வெளியிடப்பட்டுவிட்டது.

இன்று நவம்பர் 13, 2026. இந்த ஓட்டையை அடைக்க Apache நிறுவனம் நவம்பர் 11 அன்று பதிப்பு 2.4.71-ஐ வெளியிட்டது, தற்போது பாதுகாப்புக் குழுக்கள் அதே கேள்வியைக் கேட்கின்றன: நாம் உண்மையில் பாதிக்கப்படக்கூடிய நிலையில் உள்ளோமா? நேர்மையான பதில் ஒரு பதிப்பு எண்ணை விட பலவற்றைச் சார்ந்துள்ளது. HTTP/2 இயக்கப்பட்டுள்ளதா, உங்கள் Linux வழங்குநர் ஏற்கனவே அதன் தொகுப்பை பேட்ச் செய்துள்ளாரா மற்றும் டிராஃபிக் எவ்வாறு Apache-ஐ சென்றடைகிறது என்பதைப் பொறுத்தது. நாம் Acme என்று அழைக்கப்போகும் நிறுவனத்தின் கணினி நிர்வாகியான ரோஹித்தை உதாரணமாகக் கொண்டு, இந்த வழிகாட்டி இந்த மூன்றையும் விளக்குகிறது.

எளிய சொற்களில் என்ன நடந்தது

HTTP/2 என்பது இணையத்தின் முதன்மை நெறிமுறையின் புதிய பதிப்பாகும். பல கோரிக்கைகளும் பதில்களும் ஒரே நேரத்தில் ஒரே இணைப்பைப் பகிர்ந்து கொள்ள முடியும் என்பதே இதன் முக்கிய யோசனை, இது வலைத்தளங்களை வேகமாக்குகிறது. Apache-இல், இந்த அம்சம் வழங்கும் தொகுதி: mod_http2.

ஒரே இணைப்பைப் பகிர்வது என்பது சர்வரின் பல பகுதிகள் ஒரே நேரத்தில் செயல்படுவதைக் குறிக்கிறது, மேலும் எந்தப் பகுதி எந்த நினைவகப் பகுதியைப் பயன்படுத்துகிறது என்பதில் அவை கவனமாக இருக்க வேண்டும். Red Hat-இன் தொழில்நுட்ப மதிப்பீட்டின்படி, அந்த கவனம் இங்கே தவறியுள்ளது. ஒரு worker thread (ஒரு கோரிக்கையைக் கையாளும் சர்வரின் ஒரு பகுதி) பின்வரும் connection thread (முழு இணைப்பையும் நிர்வகிக்கும் பகுதி)-க்குச் சொந்தமான நினைவகத்தில் ஒரு பகிரப்பட்ட, lock-free நினைவக ஒதுக்கீட்டாளர் (allocator) வழியாக எழுத முடிந்தது. இந்த பிரச்சனை அமைந்துள்ள செயற்கூறு assign_headers(). ஒருங்கிணைப்பு இல்லாமல் இரண்டு பகுதிகள் ஒரே நினைவகத்தில் எழுதும்போது, உள் நினைவகம் சிதைவடையக்கூடும், மேலும் நினைவகச் சிதைவு என்பது பெரும்பாலும் தாக்குபவரின் குறியீட்டை இயக்குவதற்கான வழியாக அமைகிறது.

Red Hat இந்த குறைபாட்டிற்கு 10-க்கு 9.8 என்ற CVSS v3.1 மதிப்பெண்ணை வழங்குகிறது. அந்த மதிப்பெண், இந்தத் தாக்குதல் நெட்வொர்க் வழியாகச் செயல்படும், கடவுச்சொல் எதுவும் தேவையில்லை மற்றும் பயனரின் உதவி எதுவும் தேவையில்லை என்பதைக் குறிக்கிறது.

எந்த பதிப்புகள் பாதிக்கப்பட்டுள்ளன

Apache இந்த வரம்புகள் பாதிக்கப்பட்டுள்ளதாகப் பட்டியலிடுகிறது:

• Apache HTTP Server 2.4.55 முதல் 2.4.70 வரை.
• தனியாக வெளியிடப்பட்ட mod_h2 GitHub தொகுதி, பதிப்புகள் 2.0.8 முதல் 2.0.42 வரை.

சரிசெய்யப்பட்ட வெளியீடு: Apache HTTP Server 2.4.71, அல்லது இந்தத் திருத்தத்தை வெளிப்படையாக உள்ளடக்கிய ஒரு வெண்டார் பேக்கேஜ்.

Red Hat தனது சொந்த தளங்களுக்கான முக்கியமான விவரங்களைச் சேர்க்கிறது:

• RHEL 8 மற்றும் முந்தைய பதிப்புகள் பாதிக்கப்படவில்லை, ஏனெனில் பாதிக்கப்படக்கூடிய குறியீடு அங்கு இல்லை.
• RHEL 9 மற்றும் RHEL 10 ஆகியவை Critical என்பதற்குப் பதிலாக Important என மதிப்பிடப்பட்டுள்ளன. அவற்றின் HTTP/2 ஸ்ட்ரீம்கள் தனித்தனி ஒதுக்கீட்டாளர்களைப் பயன்படுத்துகின்றன, இது தாக்குதலை மேற்கொள்வதை மிகவும் கடினமாக்குகிறது. அவற்றுக்கு இன்னமும் புதுப்பிப்பு தேவைப்படுகிறது, மேலும் Red Hat பல RHEL 9 மற்றும் 10 ஸ்ட்ரீம்களுக்கான திருத்தங்களை நவம்பர் 11 அன்று வெளியிட்டது.

தாக்குபவர் உண்மையில் எதைப் பெற முடியும்

வெற்றிகரமான தாக்குதல் ஒரு தாக்குபவருக்கு இதன் கட்டுப்பாட்டை வழங்கக்கூடும்: web-server process. அது தானாகவே கணினியின் முழுக் கட்டுப்பாட்டையும் பெறுவதற்குச் சமமானதல்ல. தாக்குபவர் எதை அணுக முடியும் என்பது Apache செயல்முறை எதை அணுக முடியும் என்பதைப் பொறுத்தது: பயன்பாட்டின் தரவு, அது எழுதக்கூடிய வலைத்தள கோப்புறைகள், config கோப்புகளில் சேமிக்கப்பட்ட நற்சான்றிதழ்கள் மற்றும் உள் நெட்வொர்க்கில் உள்ள தரவுத்தளங்கள் போன்ற எந்தவொரு பின்தள சேவைகளும் இதில் அடங்கும்.

எனவே, குறைந்த சலுகை கொண்ட பயனராக (low-privilege user) இயங்கும் நன்கு தனிமைப்படுத்தப்பட்ட ஒரு சர்வரில் ஏற்படும் சேதம், கணினியில் உள்ள ஒவ்வொரு ரகசியத்தையும் Apache படிக்கக்கூடிய சர்வரில் ஏற்படுவதை விடக் குறைவு. அதையும் சரிபார்க்க இது ஒரு நல்ல தருணம்.

உங்கள் சர்வர் உண்மையில் பாதிக்கப்படக்கூடிய நிலையில் உள்ளதா?

இங்குதான் பல குழுக்கள் இரண்டு விதங்களிலும் தவறு செய்கின்றன. ஒரு பதிப்பு எண் மட்டுமே ஆபத்திற்கான சான்று அல்ல, மேலும் பாதுகாப்பாகத் தோன்றும் பொது வலைத்தளம் பாதுகாப்பிற்கான சான்று அல்ல.

தொகுதியை ஏற்றுவது மட்டுமே போதுமானதல்ல. சேவையானது உண்மையில் HTTP/2-வை ஏற்றுக்கொள்ளும்போது மட்டுமே பாதிக்கப்படக்கூடிய பாதையை அணுக முடியும் என்று லக்சம்பேர்க்கின் CIRCL குறிப்பிடுகிறது. mod_http2 ஏற்றப்பட்டிருந்தாலும் எந்தவொரு லிசனரும் HTTP/2-வை வழங்கவில்லை என்றால், அந்தப் பாதையை அணுக முடியாது.

இரண்டு வகையான HTTP/2 நெறிமுறைகளுமே இதில் அடங்கும். TLS வழியாக மறைகுறியாக்கப்பட்ட HTTP/2 ஆனது h2என்று அழைக்கப்படுகிறது. TLS இல்லாத கிளியர்டெக்ஸ்ட் HTTP/2 ஆனது h2cஎன்று அழைக்கப்படுகிறது. எந்தவொரு லிசனரிலும் இதில் ஏதேனும் ஒன்று இயக்கப்பட்டிருந்தாலும் அது முக்கியமானதாகும்.

Virtual host-கள் வேறுபடலாம். முழு சர்வருக்கும் மற்றும் ஒவ்வொரு virtual host-க்கும் தனித்தனியாக நெறிமுறைகளை அமைக்க Apache அனுமதிக்கிறது. முதன்மை config கோப்பை மட்டும் மதிப்பாய்வு செய்வது, தனியாக HTTP/2-வை இயக்கியுள்ள ஒரு தளத்தைத் தவறவிடக்கூடும்.

Proxy-கள் இந்த நிலையை மாற்றுகின்றன. ஒரு CDN, load balancer அல்லது reverse proxy முன்னால் இருந்து, பார்வையாளர்களுக்கு HTTP/2 மற்றும் Apache-க்கு HTTP/1.1 மட்டுமே பேசினால், வெளிப்புற HTTP/2 அமர்வு மட்டுமே இந்த பிழையை வெளிப்படுத்தாது. ஆனால் ஆரிஜின் சர்வருக்கான நேரடி அணுகல், ஓர் உள் லிசனர் அல்லது Apache-க்கு HTTP/2-வை ஃபார்வர்ட் செய்யும் ஒரு proxy போன்றவை பாதிப்பை ஏற்படுத்தும்.

ரோஹித்தின் சூழ்நிலை இது ஏன் முக்கியமானது என்பதைக் காட்டுகிறது. Acme-இன் பிரதான வலைத்தளம் ஒரு CDN-க்குப் பின்னால் அமைந்துள்ளது, எனவே பொது ஸ்கேன் எங்கும் HTTP/2-வைக் காட்டுகிறது. உள்ளே, அவர் மூன்று நிகழ்வுகளைக் காண்கிறார்: பிரதான தளத்தின் Apache ஆனது CDN-இலிருந்து HTTP/1.1-ஐ மட்டுமே பெறுகிறது, ஓர் உள் விக்கி h2 வழியாக நேரடியாக அணுகப்படுகிறது, மேலும் ஒரு பழைய மார்க்கெட்டிங் virtual host தானாகவே h2c-ஐ இயக்குகிறது. மூன்றில் இரண்டுக்கு அவசரப் பணி தேவைப்படுகிறது, மேலும் பொது ஸ்கேன் மூலம் இவற்றைப் பற்றி அவருக்கு எதுவும் தெரிந்திருக்காது.

படிப்படியாக: ரோஹித் இன்று என்ன செய்கிறார்

படி 1: ஒவ்வொரு Apache சர்வர் மற்றும் அதன் பதிப்பைக் கண்டறிதல்

சர்வர்களைப் பட்டியலிட்டு, பின்னர் ஒவ்வொன்றையும் சரிபார்க்கவும். கட்டளையின் பெயர் லினக்ஸ் விநியோகத்தைப் பொறுத்து மாறுபடும்.

# RHEL, Rocky, Alma, Fedora
httpd -v
# Debian, Ubuntu
apache2 -v

வழங்குநர்கள் பெரும்பாலும் முதன்மை பதிப்பு எண்ணை மாற்றாமல் ஒரு பிழையை சரிசெய்கிறார்கள் என்பதை நினைவில் கொள்ளுங்கள் (இது backportingஎன்று அழைக்கப்படுகிறது). பதிப்பு எண்ணை மட்டும் பார்க்காமல், உங்கள் வழங்குநரின் பாதுகாப்பு ஆலோசனைக்கு எதிராக பேக்கேஜைச் சரிபார்க்கவும்.

# RHEL family: is the fix for this CVE available or installed?
dnf updateinfo list --cve CVE-2026-119618
# Debian and Ubuntu: does the installed package mention the CVE?
apt changelog apache2 | grep -i CVE-2026-119618

படி 2: HTTP/2 உண்மையில் வழங்கப்படுகிறதா என்பதைச் சரிபார்க்கவும்

முதலில் தொகுதி ஏற்றப்பட்டுள்ளதா என்று பார்க்கவும், பின்னர் virtual host-கள் உட்பட ஒவ்வொரு config கோப்பிலும் நெறிமுறை அமைப்புகளைத் தேடவும்.

# Is mod_http2 loaded?
apachectl -M 2>/dev/null | grep -i http2
# Where is HTTP/2 enabled? Look for h2 or h2c on any Protocols line
grep -RniE '^\s*Protocols' /etc/httpd/ /etc/apache2/ 2>/dev/null

பின்னர் வெளியிலிருந்தும் உள்ளிருந்தும் சோதிக்கவும். --http2 ஆனது TLS வழியாக h2-வைக் கோருகிறது, மற்றும் --http2-prior-knowledge ஆனது கிளியர்டெக்ஸ்ட் h2c-ஐ முயற்சிக்கிறது. முடிவாக 2 என்று வந்தால் HTTP/2 பயன்படுத்தப்பட்டது என்று பொருள்.

curl -s -o /dev/null -w '%{http_version}\n' --http2 https://app.example.com/
curl -s -o /dev/null -w '%{http_version}\n' --http2-prior-knowledge http://203.0.113.10/

பொது வலைத்தளத்திற்கு மட்டுமல்லாமல், ஆரிஜின் முகவரி மற்றும் உள் பெயர்களுக்கும் இவற்றை இயக்கவும்.

படி 3: 2.4.71 அல்லது வெண்டாரின் சரிசெய்யப்பட்ட பேக்கேஜிற்கு பேட்ச் செய்யவும்

உங்கள் வழங்குநரின் புதுப்பிப்பைப் பயன்படுத்தவும் (அல்லது நீங்கள் மூலக் குறியீட்டிலிருந்து Apache-ஐ இயக்கினால் 2.4.71-ஐ உருவாக்கவும்), புதிய குறியீடு உண்மையில் இயங்குவதை உறுதிசெய்ய சேவையை மறுதொடக்கம் செய்யவும். பேக்கேஜ் புதுப்பித்தலுக்குப் பிறகு reload செய்வது எப்போதும் போதுமானதாக இருக்காது; restart செய்வதே பாதுகாப்பான தேர்வாகும்.

# RHEL family
sudo dnf update httpd mod_http2
sudo systemctl restart httpd
# Debian and Ubuntu
sudo apt update && sudo apt install --only-upgrade apache2
sudo systemctl restart apache2

இயங்கும் பதிப்பு சரிசெய்யப்பட்ட ஒன்றுதானா என்பதை உறுதிப்படுத்த படி 1-ஐ மீண்டும் செய்யவும்.

படி 4: உங்களால் இன்னும் பேட்ச் செய்ய முடியவில்லை என்றால், HTTP/2-வை முடக்கவும்

ஒரு தற்காலிக நடவடிக்கையாக, நெறிமுறையை HTTP/1.1-க்கு வரம்பிடவும். இதை முதன்மை config மற்றும் அதன் சொந்த நெறிமுறைகளை அமைக்கும் ஒவ்வொரு virtual host-லும் சேர்க்கவும், இதில் உள்ள ஏதேனும் h2 மற்றும் h2c பதிவுகளையும் நீக்கவும்:

Protocols http/1.1

config-ஐ சரிபார்த்து, அதை செயல்படுத்தி, படி 2-இல் உள்ள curl கட்டளைகள் மூலம் மீண்டும் சோதிக்கவும். நீங்கள் பார்க்க வேண்டியது 1.1, மாறாக இதுவல்ல: 2.

apachectl configtest && sudo systemctl reload httpd    # or apache2

Debian மற்றும் Ubuntu-இல் நீங்கள் தொகுதியை பின்வருமாறு முடக்கலாம்: sudo a2dismod http2, அதைத் தொடர்ந்து மறுதொடக்கம் செய்ய வேண்டும். பேட்ச் செய்த பிறகு HTTP/2 மீண்டும் பயன்பாட்டிற்கு வரும் வரை சில பார்வையாளர்களுக்கு பக்கங்கள் சற்று மெதுவாக ஏற்றப்படலாம் என்பதை எதிர்பாருங்கள்.

படி 5: முந்தைய பாதிப்பின் அறிகுறிகளைத் தேடுங்கள்

பேட்ச் செய்வது கதவை மூடுகிறது, ஆனால் அதற்கு முன் யாராவது அதன் வழியே நுழைந்தார்களா என்பதை அது உங்களுக்குச் சொல்லாது. எதிர்பாராத Apache worker முறிவுகள், விசித்திரமான சைல்ட் செயல்முறைகள், வலை கோப்புறைகளில் அங்கீகரிக்கப்படாத கோப்பு மாற்றங்கள் மற்றும் சர்வரிலிருந்து வழக்கத்திற்கு மாறான வெளிச்செல்லும் இணைப்புகளை மதிப்பாய்வு செய்யுமாறு CIRCL பரிந்துரைக்கிறது. இவை எதுவும் தானாகவே ஒரு தாக்குதலை நிரூபிக்கவில்லை என்றாலும், ஒவ்வொன்றும் கவனிக்கப்பட வேண்டியவை.

தாக்குதல் அறிக்கைகள் பற்றி

மூலங்கள் மாறுபடுகின்றன, எனவே தலைப்புச் செய்திகளைக் கவனமாகப் படியுங்கள். mod_http2 இயக்கப்பட்ட ஒரு இயல்புநிலை சர்வருக்கு எதிராக நம்பகமான தாக்குதலைப் பொது ஆராய்ச்சி நிரூபித்துள்ளதாக Red Hat கூறுகிறது. நவம்பர் 11 அன்று Wiz, அந்த நேரத்தில் எந்தவொரு எக்ஸ்ப்ளாயிட்களும் கிடைக்கவில்லை என்றும், நடைமுறையில் எந்தத் தாக்குதல்களும் காணப்படவில்லை என்றும் கூறியது. ஒரு செயல்முறை விளக்கம் நடைமுறையில் தாக்குதல்கள் நடந்ததை நிரூபிக்காது என்று CIRCL குறிப்பிடுகிறது.

தனது சொந்த தரவுகளில் உள்ள கிளவுட் சூழல்களில் 64% இந்த குறைபாட்டால் பாதிக்கப்படக்கூடிய ஆதாரங்களைக் கொண்டுள்ளன என்றும் Wiz தெரிவித்தது. அந்த எண்ணிக்கை Wiz-இன் தரவுத்தொகுப்பை விவரிக்கிறது, இணையத்தில் உள்ள அனைத்து Apache சர்வர்களின் பங்கையும் அல்ல.

பாதுகாப்பான பார்வை: இந்த அறிக்கைகளில் உறுதிப்படுத்தப்பட்ட தாக்குதல் எதுவும் இல்லை, ஆனால் செயல்படக்கூடிய ஒரு உத்தி நிரூபிக்கப்பட்டுள்ளது, எனவே விரைவாக பேட்ச் செய்யவும்.

இதை யார் கண்டறிந்தது, மற்றும் 2.4.71 வேறு எவற்றை சரிசெய்கிறது

Anthropic-இன் OSS Scanner மற்றும் Google Cloud Vulnerability Research-இன் Anthony Weems மற்றும் Simon Scannell ஆகியோருக்கு Apache நன்றி தெரிவிக்கிறது. அக்டோபர் 26 அன்று Anthropic-இன் அறிக்கை, நவம்பர் 3 அன்று Google-இன் அறிக்கை, மற்றும் நவம்பர் 11 அன்று சரிசெய்தல் மற்றும் வெளியீடு ஆகியவற்றை இந்த காலவரிசை காட்டுகிறது.

பதிப்பு 2.4.71 இரண்டு சிறிய சிக்கல்களையும் சரிசெய்கிறது:

• CVE-2026-106023 (Important): பதிப்புகள் 2.4.30 முதல் 2.4.70 வரை, mod_md-இல் உள்ள ஒரு null-pointer dereference ஆனது child process-ஐ செயலிழக்கச் செய்யலாம்.
• CVE-2026-109163 (Low): பதிப்புகள் 2.4.69 மற்றும் 2.4.70-இல், mod_vhost_alias-இல் உள்ள ஒரு stack-buffer overwrite.

முடிவுரை

CVE-2026-119618 தீவிரமானது: உள்நுழைவு தேவையில்லை, நெட்வொர்க் வழியாக அணுகக்கூடியது, வெப் சர்வரைக் கட்டுப்படுத்தக்கூடிய சாத்தியம் உள்ளது. ஆனால் உண்மையான பாதிப்பு என்பது HTTP/2 அல்லது h2c வழங்கப்படுகிறதா, உங்கள் வெண்டாரின் பேக்கேஜ் மற்றும் டிராஃபிக் எவ்வாறு Apache-ஐ சென்றடைகிறது என்பதைப் பொறுத்தது. ஒவ்வொரு சர்வரையும் கண்டறியவும், ஒவ்வொரு virtual host-ஐயும் சரிபார்க்கவும், 2.4.71 அல்லது வெண்டாரின் தீர்வுக்கு பேட்ச் செய்யவும், நீங்கள் காத்திருக்க வேண்டிய இடங்களில் HTTP/2-வை முடக்கவும், பின்னர் முந்தைய முறைகேடுகளுக்கான அறிகுறிகளை ஆராயவும்.

நன்மைகள்

• தீர்வு ஏற்கனவே வெளியிடப்பட்டுவிட்டது, எனவே பாதுகாப்பிற்கான தெளிவான வழி உள்ளது.
• ஒரு தற்காலிக ஏற்பாடாக ஒரு config வரியைக் கொண்டு HTTP/2-வை முடக்க முடியும்.
• RHEL 8 மற்றும் பழைய பதிப்புகள் பாதிக்கப்படவில்லை, மேலும் RHEL 9 மற்றும் 10-ஐ தாக்குவது மிகவும் கடினம்.
• Apache உடன் HTTP/1.1 மட்டுமே பேசும் ஒரு proxy பாதிப்பைக் குறைக்கிறது.
• Apache செயல்முறை எவற்றை அணுகலாம் என்பதை மேலும் கட்டுப்படுத்த இந்த மறுஆய்வு ஒரு நல்ல வாய்ப்பாகும்.

குறைபாடுகள்

• இந்த குறைபாட்டிற்கு உள்நுழைவு தேவையில்லை மற்றும் 9.8 மதிப்பெண் பெற்றுள்ளது, எனவே பாதிக்கப்படக்கூடிய சர்வர்கள் உண்மையான ஆபத்தில் உள்ளன.
• வெண்டார்கள் திருத்தங்களை பேக்போர்ட் செய்வதால் பதிப்பு எண்கள் தவறாக வழிநடத்தக்கூடும்.
• ஒவ்வொரு virtual host அமைப்புகளும் பாதிக்கப்படக்கூடிய ஒரு தளத்தைத் தவறவிடுவதை எளிதாக்குகின்றன.
• HTTP/2-வை முடக்குவது சில பக்கங்கள் சற்று மெதுவாக ஏற்றப்படுவதற்கு வழிவகுக்கும்.
• சரிசெய்வதற்கு முன்பு ஒரு சர்வர் தாக்கப்பட்டதா என்பதை பேட்ச் செய்வது வெளிப்படுத்தாது.

எச்சரிக்கை

இந்தக் கட்டுரை கல்வி நோக்கங்களுக்கானது. ஹோஸ்ட் பெயர்கள், IP முகவரிகள் மற்றும் நிறுவனத்தின் பெயரான Acme ஆகியவை ஒதுக்கிடங்கள் மட்டுமே, மேலும் அவை உங்களுடையவற்றைக் கொண்டு மாற்றப்பட வேண்டும். விநியோகங்கள் மற்றும் பதிப்புகளுக்கு இடையே கட்டளைகள் வேறுபடுகின்றன, எனவே உங்கள் வழங்குநரின் ஆலோசனையைப் படித்து, மாற்றங்களை முதலில் உற்பத்தி சாராத சர்வரில் சோதிக்கவும். எக்ஸ்ப்ளாயிட்கள் மற்றும் பாதிக்கப்பட்ட வரம்புகள் பற்றிய தகவல்கள் இங்கே சுருக்கமாகக் கூறப்பட்டுள்ள வழங்குநர் மற்றும் ஆராய்ச்சியாளர்களின் அறிக்கைகளிலிருந்து பெறப்பட்டவை மற்றும் மாறக்கூடும், எனவே அவற்றை நம்புவதற்கு முன் அதிகாரப்பூர்வ Apache மற்றும் வழங்குநர் ஆலோசனைகளுடன் சரிபார்க்கவும்.

அடிக்கடி கேட்கப்படும் கேள்விகள்

• CVE-2026-119618 என்றால் என்ன? — இது Apache HTTP Server-இன் HTTP/2 தொகுதியில் உள்ள ஒரு தீவிர நினைவகச் சிதைவுக் குறைபாடாகும், இது அங்கீகாரம் இல்லாமலேயே தொலைவிலிருந்து குறியீட்டை இயக்க அனுமதிக்கக்கூடும்.
• எந்த Apache பதிப்புகள் பாதிக்கப்பட்டுள்ளன? — Apache HTTP Server 2.4.55 முதல் 2.4.70 வரை, மற்றும் தனியான mod_h2 தொகுதி பதிப்புகள் 2.0.8 முதல் 2.0.42 வரை.
• எந்த பதிப்பு இதைச் சரிசெய்கிறது? — நவம்பர் 11, 2026 அன்று வெளியிடப்பட்ட Apache HTTP Server 2.4.71, அல்லது இந்தத் திருத்தத்தை வெளிப்படையாகக் கொண்டுள்ள ஒரு வெண்டார் பேக்கேஜ்.
• mod_http2 ஏற்றப்பட்டு, ஆனால் HTTP/2 இயக்கப்படவில்லை என்றால் எனது சர்வர் பாதுகாப்பானதா? — பாதிக்கப்படக்கூடிய பாதைக்கு சேவையானது HTTP/2-வை ஏற்க வேண்டும், எனவே எந்தவொரு லிசனரிலும் h2 அல்லது h2c இரண்டையுமே வழங்காத சர்வரை இந்தக் குறைபாட்டின் மூலம் அணுக முடியாது.
• நான் ஒரு CDN அல்லது லோட் பேலன்சருக்குப் பின்னால் பாதுகாப்பாக இருக்கிறேனா? — Proxy ஆனது Apache உடன் HTTP/1.1 பேசினால் மட்டுமே, மற்றும் எவராலும் ஆரிஜின் சர்வரை HTTP/2 வழியாக நேரடியாக அணுக முடியாத நிலையில் மட்டுமே பாதுகாப்பு.
• RHEL பாதிக்கப்பட்டுள்ளதா? — RHEL 8 மற்றும் முந்தைய பதிப்புகள் பாதிக்கப்படவில்லை; RHEL 9 மற்றும் 10 ஆகியவை Important என மதிப்பிடப்பட்டுள்ளன, மேலும் Red Hat-இன் புதுப்பிப்புகளைப் பயன்படுத்த வேண்டும்.
• Apache-இல் HTTP/2-வை தற்காலிகமாக எவ்வாறு முடக்குவது? — பின்வருமாறு அமைக்கவும்: Protocols http/1.1 இதை முதன்மை config மற்றும் ஒவ்வொரு virtual host-லும் சேர்த்து, config சோதனையை இயக்கி, பின்னர் Apache-ஐ reload செய்யவும்.
• இந்த குறைபாடு நடைமுறையில் பயன்படுத்தப்படுகிறதா? — இங்கே மேற்கோள் காட்டப்பட்டுள்ள அறிக்கைகள் ஒரு பொது செயல்முறை விளக்கத்தை விவரிக்கின்றன, ஆனால் நடைமுறையில் உறுதிப்படுத்தப்பட்ட தாக்குதல்கள் எதுவும் இல்லை, எனவே தாக்குதல் பிரச்சாரம் எதுவும் இல்லை என்று கருதாமல் விரைவாக பேட்ச் செய்யவும்.

குறிச்சொற்கள்

#apache #cybersecurity #cve2026119618 #http2 #modhttp2 #vulnerabilitymanagement #patchmanagement #linuxsecurity #webserver #devsecops