Apache/NGINX/LiteSpeed, NVD/CISA, Ubuntu security tracker a čínské zdroje včetně Tencent Cloud | hardweb.cz

PŘEČTENO CELKEM: 4

Doba čtení: 5 minut

V posledních měsících je toho překvapivě dost… pojďme na to.

Nejdůležitější je, že Apache vydal 2.4.69 teprve včera, 1. 10. 2026, a opravuje celou novou várku chyb. Apache HTTP Server

Apache HTTP Server

Aktuálně bych nejvíc hlídal:

CVE-2026-63292 – mod_vhost_alias: stack buffer overflow. V určitých konfiguracích může vzdálený klient způsobit pád workeru a Apache připouští i potenciální spuštění kódu. Podmínkou je VirtualDocumentRoot používající hostname formát a zvýšený LimitRequestFieldSize nad výchozí hodnotu. Postiženo do 2.4.68, oprava 2.4.69. Apache HTTP Server
CVE-2026-57941 – mod_http2: use-after-free / „wild write“ při re-entrancy HTTP/2. Postiženo 2.4.0–2.4.68. Apache HTTP Server
CVE-2026-63718 – mod_proxy_uwsgi: response smuggling přes podvrženou Transfer-Encoding odpověď z uWSGI backendu. 2.4.30–2.4.68. Apache HTTP Server
CVE-2026-58415 – mod_dav_fs: možnost číst interní .DAV property data, která normálně přístupná být nemají. Apache HTTP Server
CVE-2026-93546 – mod_dav_fs: integer overflow; autentizovaný WebDAV uživatel s právem zápisu může shazovat workery a poškodit property DB. Apache HTTP Server

Starší, ale velmi zajímavá je CVE-2026-23918 – HTTP/2 double-free s možným RCE. Týkala se upstream Apache 2.4.66. Pozor ale na distribuce: Canonical potvrzuje, že Ubuntu 24.04 tímto konkrétním CVE nebylo postiženo, takže nelze posuzovat Ubuntu pouze podle upstream čísla verze. Ubuntu

NGINX

Tady je letos asi nejzajímavější:

CVE-2026-42533 – heap buffer overflow v map + regex. Neautentizovaný HTTP request může za specifické konfigurace shodit worker; F5 uvádí možnost code execution při vypnutém ASLR nebo jeho obejití. CVSS v4 od F5 je 9.2. Upstream považuje za bezpečné 1.31.3+ / 1.30.4+. nginx.org

Čínský Tencent Cloud věnoval právě tomuto problému detailní analýzu nginx 1.31.3 a popisuje zároveň dvě další chyby: CVE-2026-60005 v ngx_http_slice_module – únik obsahu paměti / crash – a CVE-2026-56434 v SSI – use-after-free. Tencent Cloud

Ubuntu 24.04 je zajímavé tím, že opravu CVE-2026-42533 několikrát nasadilo a stáhlo kvůli regresím; definitivní novější oprava vyšla 14. 9. 2026 jako USN-8563-5. Pro Noble Canonical aktuálně uvádí opravu v balíku 1.24.0-2ubuntu7.18. Ubuntu

A úplně nejnovější NGINX problém:

CVE-2026-90439 – HTTP/3 heap buffer overflow. Týká se ngx_http_v3_module, za určitých podmínek s OpenSSL ≤3.5.0. Výsledkem může být restart workeru nebo omezená korupce paměti. Bezpečné upstream verze jsou 1.31.6+ / 1.30.5+. nginx.org

LiteSpeed / OpenLiteSpeed – tady jsou dvě věci opravdu kritické

CVE-2026-48172 je velmi důležitá, protože byla aktivně zneužívána. LiteSpeed user-end cPanel plugin 2.3–2.4.4 umožňoval cPanel uživateli přes lsws.redisAble spustit libovolný skript jako root. Vendor uvádí reálné útoky. LiteSpeed Blog

LiteSpeed dokonce vydal konkrétní IOC kontrolu:

grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null

Žádný výstup = tento konkrétní způsob exploitu nebyl v těchto logách nalezen. Výstup = kontrolovat IP, systémové logy a následné root aktivity. LiteSpeed Blog

Pak přišla CVE-2026-54420, opět aktivně zneužívaná a zařazená CISA do KEV. Na shared hostingu s CloudLinux/CageFS mohl uživatel s FTP nebo webshell přístupem zneužít práci se symlinky a eskalovat oprávnění. Postiženo cPanel plugin <2.4.8 / WHM plugin <5.3.2.0. OpenCVE

Čínské bezpečnostní přehledy Tencentu rovněž zaznamenaly zařazení CVE-2026-54420 do CISA KEV. Tencent Cloud

Další je CVE-2026-31386 – OpenLiteSpeed/LSWS command injection přes administrační funkcionalitu. Útočník už potřebuje administrátorská práva, ale následkem může být libovolný OS příkaz. LiteSpeed řešil problém v LSWS 6.3.5 dodatečnou sanitizací příkazů; JPCERT doporučuje zároveň omezit WebAdmin port pouze na důvěryhodné IP. JVN iPedia

Jak bych naše servery prověřil bez zásahu ?

Na Ubuntu/Debian můžeš pustit tento jeden read-only blok:

echo "===== WEB SERVER VERSIONS ====="

command -v apache2ctl >/dev/null && {
    apache2ctl -v
    echo "--- APACHE MODULES ---"
    apache2ctl -M 2>/dev/null | grep -Ei 'http2|vhost_alias|dav|proxy_uwsgi|proxy_html|rewrite|auth_digest'
}

command -v nginx >/dev/null && {
    nginx -v 2>&1
    nginx -V 2>&1
    echo "--- NGINX RISK CONFIG ---"
    grep -RniE '^[[:space:]]*(map|slice|ssi|http3|quic)[[:space:]]|listen .*quic' /etc/nginx 2>/dev/null
}

if [ -x /usr/local/lsws/bin/lshttpd ]; then
    echo "--- LITESPEED ---"
    /usr/local/lsws/bin/lshttpd -v 2>&1
fi

echo "--- APACHE RISK CONFIG ---"
grep -RniE 'VirtualDocumentRoot|LimitRequestFieldSize|Protocols.*h2|proxy_uwsgi|DAV[[:space:]]+On' \
    /etc/apache2 2>/dev/null

echo "--- INSTALLED PACKAGES ---"
dpkg-query -W -f='${Package}\t${Version}\n' \
    apache2 nginx nginx-core openssl 2>/dev/null

echo "--- RECENT CRASH / MEMORY INDICATORS ---"
journalctl --since "30 days ago" --no-pager 2>/dev/null |
grep -Ei 'apache2|nginx|lshttpd|litespeed' |
grep -Ei 'segfault|SIGSEGV|core dumped|worker.*exited|malloc|corrupt|buffer|signal' |
tail -100

Tohle nic nemění. Z výsledku zjistíme reálnou verzi, distribuční build, aktivní rizikové moduly a konfigurace. Teprve potom má smysl rozhodovat, jestli konkrétní CVE na konkrétním serveru vůbec má attack surface.

Nejdůležitější závěr: neprověřoval bych servery stylem „Apache 2.4.x = zranitelný“. U Ubuntu se bezpečnostní záplaty backportují a například CVE-2026-23918 jasně ukazuje, že stejné upstream číslo neznamená stejnou zranitelnost. Canonical doporučuje stav hodnotit podle svého CVE/USN trackeru a distribučního package buildu.