Atualização aborda execuções de código condicionais em mod_vhost_alias e em redirecionamentos CGI, além de corrupção de banco de propriedades WebDAV; versões 2.4.0 a 2.4.68 são afetadas
| Componente | Apache HTTP Server, versões 2.4.0 a 2.4.68, com destaque para mod_vhost_alias, manipulação de redirecionamentos CGI e módulo WebDAV (mod_dav) |
| Vetor | Requisições remotas com cabeçalho Host acima de 8.192 bytes (CVE-2026-63292, exige VirtualDocumentRoot com especificador de hostname e LimitRequestFieldSize elevado), redirecionamentos internos a partir de programas CGI (CVE-2026-42356) e requisições PROPPATCH com muitos namespaces XML de cliente autenticado com acesso de escrita (CVE-2026-93546) |
| Impacto | Execução de código potencial e crash do servidor nas duas primeiras falhas sob precondições específicas; corrupção persistente do banco de propriedades de diretório e indisponibilidade de processos de trabalho no caso WebDAV |
| Prioridade | Atualizar para Apache HTTP Server 2.4.69 e revisar configurações de hosts virtuais, diretórios habilitados para CGI e funcionalidade WebDAV exposta |
| Afetadas 2.4.0–2.4.68 em geral; CVE-2026-42356 afeta 2.4.60–2.4.68; todas as correções incluídas em 2.4.69 | |
| Mitigação | Atualização para 2.4.69, revisão de LimitRequestFieldSize, de diretivas VirtualDocumentRoot e de permissões de escrita WebDAV |
A Fundação Apache liberou em 1º de outubro de 2026 a versão 2.4.69 do Apache HTTP Server, apontada pela própria entidade como a melhor versão disponível do servidor web. O boletim de segurança que acompanha a liberação relaciona 20 vulnerabilidades, sendo cinco classificadas como moderadas e quinze como baixas. A maioria das falhas afeta as versões 2.4.0 a 2.4.68, mas a exposição real de cada instalação depende de três fatores práticos: quais módulos estão habilitados, quais configurações estão em vigor e qual nível de acesso o atacante possui sobre o serviço.
A característica central desta liberação é que os riscos de execução de código têm limites importantes e não devem ser tratados como um comprometimento genérico de qualquer instalação Apache. As duas falhas com potencial de execução de código exigem precondições de configuração específicas e, sem elas, o efeito se restringe ou desaparece por completo. Para equipes de operação e segurança, isso significa que a priorização do patch depende diretamente do inventário de configuração de cada servidor, e não apenas da presença do binário httpd em versão anterior à 2.4.69.
A primeira falha de maior atenção, identificada como CVE-2026-63292, afeta o módulo mod_vhost_alias. Um cliente remoto pode causar a queda do servidor ou, em cenário potencial, executar código, desde que a requisição contenha um cabeçalho Host com mais de 8.192 bytes. A exploração depende de duas condições simultâneas: a diretiva VirtualDocumentRoot precisa estar configurada com um especificador de formato baseado em hostname, e a diretiva LimitRequestFieldSize precisa ter sido elevada acima do valor padrão do servidor. Em uma instalação com valores padrão, o limite de tamanho de campo bloqueia requisições com cabeçalhos dessa magnitude, o que reduz significativamente a superfície prática do problema.
A segunda falha, CVE-2026-42356, envolve a seleção incorreta de handler pelo Apache após determinados redirecionamentos internos originados de programas CGI. Em consequência do desvio, o arquivo alvo do redirecionamento pode passar a ser tratado como script CGI e ser executado. As precondições, porém, são restritivas: o arquivo precisa já existir dentro de um diretório habilitado para CGI e precisa não ter uma extensão reconhecida pelo mod_mime. As versões afetadas são de 2.4.60 a 2.4.68. Nenhuma das duas falhas estabelece execução de código irrestrita contra implantações em configuração padrão, distinção que o próprio boletim reforça e que deve orientar a comunicação interna sobre a severidade real.
No campo WebDAV, a falha CVE-2026-93546 afeta a disponibilidade e a integridade de dados de diretórios publicados. Um cliente autenticado com permissão de escrita consegue derrubar processos de trabalho e corromper de forma persistente o banco de propriedades de um diretório, enviando requisições PROPPATCH que declaram grande quantidade de namespaces XML. Trata-se de um cenário distinto das falhas remotas não autenticadas: o atacante precisa de credenciais válidas e de permissão de gravação no recurso, o que desloca o risco para ambientes onde clientes externos ou pouco confiáveis recebem acesso de escrita a repositórios WebDAV.
O conjunto de sistemas expostos precisa ser avaliado por perfil de configuração, e não apenas por número de versão. Servidores com hospedagem virtual massiva baseada em mod_vhost_alias, ambientes legados com diretórios CGI ativos e plataformas que oferecem WebDAV a clientes autenticados formam os três blocos de maior prioridade nesta liberação. Para o restante das vinte vulnerabilidades listadas no boletim, aplica-se a faixa geral de versões 2.4.0 a 2.4.68, com todas as correções consolidadas na versão 2.4.69.
A documentação da Fundação Apache também observa que o impacto de segurança pode variar entre plataformas, uma ressalva relevante para ambientes heterogêneos que executam o servidor web sobre sistemas operacionais diferentes. Equipes devem confirmar, além da versão do binário, se alguma correção posterior foi publicada nos registros individuais de CVE, consultando o aviso oficial de segurança em conjunto com cada registro.
- Servidores com VirtualDocumentRoot usando especificador de hostname e LimitRequestFieldSize acima do padrão (CVE-2026-63292)
- Instalações nas versões 2.4.60 a 2.4.68 com diretórios habilitados para CGI e redirecionamentos internos (CVE-2026-42356)
- Repositórios WebDAV com clientes autenticados detendo permissão de escrita (CVE-2026-93546)
- Instalações nas versões 2.4.0 a 2.4.68 de forma geral para as demais falhas do boletim
A investigação proativa começa pelo inventário de configuração: identificar instâncias httpd em versões anteriores a 2.4.69 e extrair as diretivas relevantes de cada host, incluindo VirtualDocumentRoot, LimitRequestFieldSize, diretivas ScriptAlias e aliases habilitados para CGI, além da presença de mod_dav e das permissões de escrita concedidas a usuários autenticados. Esse mapeamento permite separar os servidores genuinamente expostos às falhas condicionais daqueles em que apenas a versão antiga é o achado principal.
Na telemetria de acesso, a pesquisa deve focar em requisições com cabeçalhos de tamanho anormal, em especial Host acima do limite padrão de 8.192 bytes, e em padrões de resposta que sugiram queda de processo de trabalho ou reinício de processo filho. Para o cenário CGI, interessa revisitar logs de requisições que resultaram em redirecionamentos internos para arquivos sem extensão reconhecível, observando mudanças de handler e códigos de resposta atípicos. Em ambientes WebDAV, o sinal observável são requisições PROPPATCH volumosas com quantidade incomum de namespaces XML declarados, vindas de identidades autenticadas com permissão de escrita, acompanhadas de erros de processo de trabalho e de falhas posteriores na leitura do banco de propriedades do diretório.
- Requisições com cabeçalho Host excedendo 8.192 bytes em servidores com mod_vhost_alias ativo
- Quedas ou reinícios de processos de trabalho correlacionados com requisições específicas de um mesmo cliente
- Redirecionamentos internos originados de programas CGI para arquivos sem extensão reconhecida por mod_mime em hosts com CGI habilitado
- Requisições PROPPATCH extensas com muitos namespaces XML contra recursos WebDAV e corrupção persistente do banco de propriedades do diretório
A ação primária recomendada pelos registros de CVE publicados é a atualização para Apache HTTP Server 2.4.69, versão que consolida as correções das vinte vulnerabilidades do boletim. O planejamento da janela de atualização deve priorizar, em ordem, os servidores que usam as configurações de host virtual vulneráveis, os que mantêm redirecionamentos a partir de programas CGI e os que expõem funcionalidade WebDAV a clientes com permissão de escrita. Como nenhuma exploração ativa é afirmada no material divulgado, a prioridade decorre do perfil de exposição e da criticidade do serviço, e não de pressão de ameaça confirmada.
Além do upgrade, a revisão defensiva inclui reduzir LimitRequestFieldSize aos valores padrão onde não houver necessidade operacional de campos maiores, eliminar especificadores de hostname em VirtualDocumentRoot quando o formato não for indispensável, restringir a listagem de diretórios habilitados para CGI em servidores legados e limitar o acesso de escrita WebDAV apenas a identidades estritamente necessárias. Após a atualização, as equipes devem validar o comportamento dos hosts virtuais, dos fluxos CGI existentes e da integridade dos bancos de propriedades WebDAV, além de manter acompanhamento do aviso de segurança oficial por eventuais correções adicionais publicadas depois desta liberação.
- Atualizar o Apache HTTP Server para a versão 2.4.69
- Restaurar LimitRequestFieldSize ao valor padrão em servidores sem necessidade de cabeçalhos ampliados
- Auditar diretivas VirtualDocumentRoot quanto a especificadores de hostname e revisar diretórios habilitados para CGI
- Restringir permissão de escrita em WebDAV e monitorar requisições PROPPATCH anormais
- Verificar registros individuais de CVE e o aviso oficial por correções posteriores
0 Comentários