Έντονη Ημέρα Ασφαλείας για Διαχειριστές Apache

Στις 4 Μαΐου 2026, η Apache Software Foundation κυκλοφόρησε την έκδοση HTTP Server 2.4.67. Μαζί της ήρθαν 11 διορθώσεις ασφαλείας. Από ήσυχες βλάβες μέχρι κρίσιμες απειλές που απαιτούν άμεση ενημέρωση. Δύο από αυτές ξεχωρίζουν, ανάλογα με το setup σου.

Dedicated server ή VPS; Κοίτα μία. Shared hosting σε μεγάλη κλίμακα; Πρέπει να εστιάσεις σε δύο. Ας δούμε τι έγινε και γιατί μετράει.

Η Μεγάλη Απειλή: CVE-2026-23918 και το Σφάλμα HTTP/2

Εδώ γίνεται επικίνδυνο. Ερευνητές από Striga AI και ISEC βρήκαν double-free vulnerability στον HTTP/2 handler της Apache (CVE-2026-23918). CVSS 8.8: remote code execution χωρίς login, χωρίς αλληλεπίδραση, χωρίς δικαιώματα.

Πώς δουλεύει;

Κακόβουλος client στέλνει ειδικό HTTP/2 frame –ένα "early stream reset". Το memory management της Apache μπερδεύεται. Απελευθερώνει το ίδιο memory δύο φορές. Heap corruption. Ο attacker μπορεί να πάρει έλεγχο και να τρέξει εντολές.

Καλό νέο: Μόνο η 2.4.66 επηρεάζεται. Παλιότερες ασφαλείς. Αποκάλυψη Δεκέμβριος 2025, fix έτοιμο Ιανουάριος. Δημόσια πατέτσα Μαΐου –πέντε μήνες εκτεθειμένοι.

Μέχρι 5 Μαΐου, κανένα wild exploit. Αλλά μην καθυστερείς.

Προσωρινή λύση: Απενεργοποίησε HTTP/2. Χάνεις performance, αλλά κλείνεις την πόρτα μέχρι update.

Ο Εφιάλτης του Shared Hosting: CVE-2026-24072

Εδώ τα πράγματα βαραίνουν για παρόχους shared hosting.

Privilege escalation στο mod_rewrite (CVE-2026-24072), μέχρι 2.4.66. Πρόβλημα στην εκτέλεση ap_expr σε .htaccess. Σε shared, καταστροφή.

Γιατί;

Κάθε πελάτης γράφει στο .htaccess του. Φυσιολογικό για rewrites, headers, security. Attacker φτιάχνει κακόβουλη έκφραση. Διαβάζει αρχεία έξω από τον φάκελό του –με τα δικαιώματα του httpd.

Με απλά λόγια: Πελάτης Α βλέπει config, database passwords, API keys του Β. Ίσως και system files.

Δεν χρειάζεται root. Μόνο write στο .htaccess –που όλοι έχουν.

Τι να Κάνεις Τώρα

Για όλους:

• Ανέβασε σε 2.4.67 στο επόμενο maintenance
• 2.4.66; Άμεσα
• Τσέκαρε auto-patching –πέντε μήνες RCE είναι πολλά

Shared hosting:

• CVE-2026-24072 πρώτη προτεραιότητα
• Βάλε validation σε .htaccess ή limits σε ap_expr
• Έλεγξε διαχωρισμό λογαριασμών και permissions
• Σκέψου απενεργοποίηση mod_rewrite expressions αν δεν χρειάζονται

VPS/dedicated:

• Μέτρησε βήματα, αλλά γρήγορα
• Δοκίμασε 2.4.67 σε staging
• Κοίτα custom modules για συμβατότητα

Τι Μαθαίνουμε

Πέντε μήνες από ιδιωτική αποκάλυψη σε public patch. Λογικό για προετοιμασία, αλλά δείχνει ανάγκη για:

1. Auto monitoring vulnerabilities
2. Staged patching με tests
3. Alerts για νέα CVEs

Στο NameOcean, προτείνουμε auto updates, test environments και audits. Σε cloud hosting ή δικό σου infra, αυτά είναι απαραίτητα.

Η 2.4.67 είναι έτοιμη. Κινήσου. Μην αφήσεις πέντε μήνες εκτεθειμένος.