Falha crítica no Apache com HTTP/2: como saber se o servidor do seu site está exposto

A Apache Software Foundation publicou a 11 de novembro a versão 2.4.71 do Apache HTTP Server, um dos servidores web mais usados para alojar sites, lojas online e painéis de gestão. A atualização corrige três falhas, e uma delas, a CVE-2026-119618, é classificada pelo próprio projeto como crítica: um erro no módulo de HTTP/2 que, segundo o aviso oficial, «pode levar a RCE», ou seja, à execução remota de código no servidor. Se o site da sua empresa corre em Apache, num VPS ou num servidor dedicado, este é um dos pedidos que deve fazer hoje ao seu fornecedor de alojamento ou à equipa técnica. Explicamos o que está confirmado, quem é afetado e o que fazer.

O que está confirmado

De acordo com a página de vulnerabilidades do Apache HTTP Server 2.4 e o aviso enviado à lista oss-security, a falha está na função assign_headers() do módulo mod_http2, que trata as ligações HTTP/2. Trata-se de um problema de sincronização: com vários pedidos em simultâneo, partes do servidor partilham memória de forma insegura, o que pode corromper essa memória.

• Versões afetadas: Apache HTTP Server da 2.4.55 à 2.4.70.
• Módulo autónomo mod_h2 (publicado no GitHub): versões 2.0.8 a 2.0.42.
• Versão corrigida: 2.4.71, publicada a 11 de novembro de 2026.

A falha foi comunicada ao projeto a 26 de outubro pelo OSS Scanner da Anthropic, um serviço de análise de software de código aberto que usa modelos de IA, e a 3 de novembro por Anthony Weems e Simon Scannell, da equipa de investigação de vulnerabilidades da Google Cloud.

Quão grave é?

A Red Hat, que distribui o Apache no Red Hat Enterprise Linux, explica que um atacante que consiga chegar ao servidor pode explorar a falha sem qualquer autenticação e executar comandos, o que pode levar ao controlo total do sistema, ao acesso a dados sensíveis e à interrupção do serviço. Dá-lhe uma pontuação de 9,8 em 10 na escala CVSS e afirma que «investigação pública demonstrou um exploit fiável» contra um servidor com a configuração por defeito e o mod_http2 ativo, sem indicar qual.

Há, no entanto, uma nuance importante. A empresa de segurança Wiz escreveu no mesmo dia que, à data da publicação, não havia exploit disponível nem relatos de exploração em ataques reais. O The Hacker News assinala precisamente esta diferença entre as duas fontes. Ou seja: até agora não está confirmado que a falha esteja a ser usada em ataques, mas a gravidade e a facilidade de acesso justificam tratá-la como urgente.

A Wiz acrescenta que, nos seus dados, 64% dos ambientes de cloud têm recursos com versões vulneráveis e 51% têm instâncias expostas à Internet, ressalvando que estes números não têm em conta a configuração (isto é, se o HTTP/2 está ou não ligado).

Quem é afetado (e quem não é)

O ponto decisivo é o HTTP/2. Segundo a Red Hat, só os servidores com HTTP/2 ativo são afetados; um servidor que apenas serve HTTP/1.1 não é vulnerável. No Apache, o HTTP/2 é ligado pela diretiva Protocols, com h2 (HTTP/2 sobre TLS, o caso típico de um site com HTTPS) e h2c (HTTP/2 sem encriptação). Esta diretiva pode estar definida para todo o servidor ou para cada site (virtual host), por isso é preciso verificar as duas coisas.

O estado das principais distribuições Linux, segundo o levantamento do The Hacker News a 12 de novembro:

• Red Hat Enterprise Linux 9 e 10: correção já publicada. A Red Hat classifica a falha como «Importante», e não «Crítica», nestas versões, porque o seu mod_http2 separa a memória de cada pedido HTTP/2, o que torna o ataque muito mais difícil.
• Red Hat Enterprise Linux 6, 7 e 8: não afetados.
• Debian: corrigido apenas na versão em desenvolvimento (sid); bookworm, trixie e forky ainda sem pacote corrigido nessa data.
• Amazon Linux: correção pendente.
• Ubuntu: sem página de estado para a falha quando o The Hacker News verificou.

Há ainda um detalhe que pode apanhar desprevenido quem atualizou recentemente: em maio, a versão 2.4.67 corrigiu outra falha de HTTP/2 (CVE-2026-23918). Quem ficou numa versão entre a 2.4.67 e a 2.4.70 continua afetado pela nova falha.

O que fazer no servidor do site da sua empresa

1. Saber que servidor web usa. Muitos sites correm em Apache, mas outros usam Nginx, LiteSpeed ou plataformas geridas. Se não sabe, pergunte ao seu fornecedor de alojamento ou à agência que mantém o site. Em alojamento partilhado, a atualização é responsabilidade do fornecedor: peça-lhe confirmação por escrito de que o Apache foi atualizado ou de que não é afetado.

2. Verificar a versão e o HTTP/2. Num VPS ou servidor dedicado, o comando apachectl -v (ou httpd -v, ou apache2 -v no Debian e Ubuntu) mostra a versão. Para saber se o HTTP/2 está ligado, procure as linhas Protocols na configuração geral e em todos os virtual hosts. Lembre-se de que as distribuições usam números de pacote próprios: no RHEL 9, por exemplo, a correção chega como mod_http2-2.0.26-7.el9_9.1, e não como «2.4.71».

3. Atualizar. Quem usa as versões oficiais do projeto deve passar para a 2.4.71. Quem usa os pacotes da distribuição deve instalar a atualização de segurança assim que estiver disponível e reiniciar o Apache. O módulo autónomo mod_h2 não tem, até agora, versão corrigida: o repositório foi arquivado a 9 de junho e a última versão publicada, a 2.0.42, é afetada.

4. Se não puder atualizar já, desligar o HTTP/2. O aviso do Apache não indica alternativa, mas a Wiz recomenda, como medida temporária, retirar h2 e h2c da diretiva Protocols, deixando apenas Protocols http/1.1, em todo o servidor e em cada virtual host. O site continua a funcionar em HTTPS; perde apenas as vantagens de desempenho do HTTP/2 até ser atualizado.

5. Não confiar só no CDN. Se o site está atrás de um serviço como a Cloudflare, os visitantes falam com o CDN, mas o servidor de origem pode continuar acessível diretamente a partir da Internet. A atualização continua a ser necessária.

6. Rever sinais de intrusão. Se o servidor esteve exposto, vale a pena rever ficheiros alterados recentemente, contas de utilizador novas e processos estranhos. Se encontrar algo suspeito, siga o nosso guia sobre o que fazer nas primeiras horas depois de um site pirateado.

Um padrão que se repete

Esta é mais uma de uma série de falhas graves em software de servidor nas últimas semanas, e foi encontrada, em parte, por uma ferramenta de análise com IA. Já escrevemos sobre a falha no OpenSSH em Alpine Linux, sobre a falha Vghost no kernel Linux e sobre as falhas do Next.js, React e Node.js. A lição é a mesma: um site não é só o que se vê no navegador. O servidor, o sistema operativo e os módulos por baixo também precisam de manutenção regular.

Em resumo

A CVE-2026-119618 afeta o Apache HTTP Server da 2.4.55 à 2.4.70, mas só quando o HTTP/2 está ativo. Está corrigida na 2.4.71, publicada a 11 de novembro. A Red Hat diz que existe investigação pública com um exploit fiável; a Wiz diz que não havia exploit disponível nem ataques conhecidos. Em qualquer dos casos, o caminho é atualizar ou, enquanto não for possível, desligar o HTTP/2.

Se não sabe em que servidor corre o seu site nem quem o atualiza, a auditoria gratuita da MarcaWeb dá-lhe um primeiro retrato técnico em poucos minutos, e a nossa equipa pode ajudar a rever o alojamento e a manutenção.