Terça-Feira Agitada para Admins do Apache

No dia 4 de maio de 2026, a Apache Software Foundation lançou o HTTP Server 2.4.67. A atualização trouxe 11 correções de segurança. Algumas são incômodos moderados. Outras exigem patch imediato. Duas falhas chamam atenção extra, dependendo do seu setup de hosting.

Se você gerencia VPS ou servidor dedicado, foque em uma. Em shared hosting com vários clientes, preocupe-se com duas. Vamos aos detalhes e por que isso impacta você.

A Mais Grave: CVE-2026-23918 e o Bug de Memória no HTTP/2

Pesquisadores da Striga AI e ISEC acharam um double-free no handler de HTTP/2 do Apache. É o CVE-2026-23918, com CVSS 8.8. Isso abre porta para execução remota de código, sem autenticação ou privilégios extras.

Como funciona?

Um cliente malicioso envia um frame HTTP/2 falso, com reset de stream precoce. O Apache libera o mesmo bloco de memória duas vezes. Isso bagunça o heap. Um atacante pode explorar para rodar comandos no servidor.

Só afeta a versão 2.4.66. Versões antigas estão seguras. A divulgação privada rolou em dezembro de 2025. O fix interno veio em janeiro. Mas o patch público só saiu em maio. São cinco meses de exposição para quem usava 2.4.66.

Até 5 de maio, sem exploits confirmados na natureza. Ainda assim, atualize já.

Opção rápida: Desative HTTP/2 se não puder patchar agora. Perde performance, mas bloqueia esse vetor.

O Pesadelo do Shared Hosting: CVE-2026-24072

Aqui o caos aumenta para quem roda múltiplos sites no mesmo servidor.

CVE-2026-24072 é escalada de privilégios no mod_rewrite, até 2.4.66. O problema está na avaliação de expressões ap_expr em arquivos .htaccess. Parece detalhe técnico. Em shared hosting, vira bomba.

Por quê? Clientes escrevem em seus .htaccess.

É prática comum. Eles configuram redirecionamentos, headers de cache e regras de segurança. Um atacante usa isso para ler arquivos fora do diretório dele, com privilégios do processo httpd.

Resultado? Cliente A acessa configs, senhas de banco, chaves API e dados do Cliente B. Pode até pegar arquivos do sistema, dependendo das permissões.

Não precisa root. Basta acesso de escrita no .htaccess próprio. Em shared, o httpd tem acesso amplo a diretórios.

Ações Imediatas

Para todos com Apache:

• Suba para 2.4.67 na próxima janela de manutenção
• Se está em 2.4.66, corra
• Revise políticas de patch automático – cinco meses com RCE é demais

Para provedores de shared hosting:

• Priorize CVE-2026-24072
• Valide .htaccess com regras mais rígidas ou limite ap_expr
• Audite separação de contas e permissões de arquivos
• Desative expressões no mod_rewrite se clientes não precisarem

Para VPS e dedicados:

• Teste 2.4.67 em staging antes de produção
• Vá com calma, mas não demore
• Cheque módulos customizados por compatibilidade

O Que Vem Por Aí

Destaque para os cinco meses entre divulgação privada e patch público. Timeline responsável da Apache dá tempo para prep. Mas reforça a necessidade de:

1. Monitoramento automático de vulnerabilidades
2. Processos de patch em etapas, com testes
3. Alertas em tempo real para novos CVEs

Aqui na NameOcean, indicamos segurança via updates automáticos, ambientes de teste e auditorias regulares. Seja em nosso cloud hosting ou no seu infra própria, isso é essencial.

Os patches do 2.4.67 estão no ar. Aja agora. Não arrisque outro hiato de cinco meses com essas brechas.