Celah Kritis Apache HTTP/2 CVE-2026-119618: Bisa Dipakai Jalankan Kode dari Jarak Jauh, Segera Perbarui ke 2.4.71

4:05 pm November 12, 2026

Diterbitkan: Kamis, 12 November 2026, 16.05 WIB

Apache Software Foundation (ASF) merilis Apache HTTP Server 2.4.71 pada 11 November 2026 untuk menambal celah keamanan berlevel critical di modul HTTP/2. Celah bernomor CVE-2026-119618 ini bisa berujung pada remote code execution (RCE), yaitu penyerang menjalankan kode di server dari jarak jauh, tanpa perlu login. Karena Apache masih menjadi salah satu web server paling banyak dipakai, termasuk di banyak hosting WordPress, pemilik server sebaiknya segera memeriksa versi dan konfigurasi mereka.

Artikel ini merangkum apa yang sudah dipastikan dari sumber resmi, siapa yang terdampak, cara memeriksa server Anda, dan langkah perbaikan yang bisa dilakukan hari ini.

Ringkasan Cepat

Hal	Detail
Nomor CVE	CVE-2026-119618
Komponen	mod_http2 (modul HTTP/2 di Apache HTTP Server), fungsi `assign_headers()`
Jenis celah	Race condition (CWE-362): sumber daya bersama diakses beberapa thread tanpa sinkronisasi yang benar
Dampak	Kerusakan memori heap yang dapat berujung RCE
Tingkat keparahan	Critical menurut ASF; CVSS v3.1 9,8 menurut Red Hat
Versi terdampak	Apache HTTP Server 2.4.55 sampai 2.4.70; mod_h2 versi GitHub 2.0.8 sampai 2.0.42
Versi perbaikan	Apache HTTP Server 2.4.71 (11 November 2026)
Syarat serangan	Server mengaktifkan HTTP/2 (`h2` atau `h2c`) lewat direktif `Protocols`
Perlu login?	Tidak

Apa Sebenarnya Masalahnya?

Menurut advisory resmi Apache, celah ini adalah “Concurrent Execution using Shared Resource with Improper Synchronization” di fungsi assign_headers() milik mod_http2, yang dapat mengarah ke RCE.

Sedikit latar belakang: HTTP/2 memungkinkan banyak permintaan (disebut stream) berjalan bersamaan di satu koneksi. Di Apache, koneksi utama dikelola satu thread, sementara tiap permintaan diproses oleh thread pekerja (worker). Karena banyak thread bekerja serentak, data yang dipakai bersama harus dijaga agar tidak diubah dua pihak pada saat yang sama.

Red Hat menjelaskan inti masalahnya secara sederhana: karena cacat thread-safety, satu thread bisa mengubah memori milik thread lain. Analisis teknis dari Threat Landscape menyebut fungsi assign_headers() menyalin tabel header bersama ke header milik permintaan, lalu menulis ke tabel bersama itu (misalnya mengatur nilai Content-Length menjadi 0) tanpa sinkronisasi yang memadai. Hasilnya adalah kerusakan memori heap, dan kerusakan memori seperti ini adalah bahan klasik untuk eksploitasi eksekusi kode.

Mengapa Skornya Setinggi Itu?

Vektor CVSS yang dipakai Red Hat adalah AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Artinya:

AV:N: bisa diserang lewat jaringan, termasuk dari internet.
AC:L: kompleksitas serangan rendah.
PR:N: tidak perlu akun atau hak akses apa pun.
UI:N: tidak perlu korban mengklik apa pun.
C:H/I:H/A:H: dampak tinggi pada kerahasiaan, integritas, dan ketersediaan.

Kombinasi ini menghasilkan skor 9,8 dari 10, hampir maksimal.

Siapa yang Terdampak?

Server Anda terdampak jika ketiga syarat berikut terpenuhi:

Memakai Apache HTTP Server versi 2.4.55 sampai 2.4.70 (atau mod_h2 terpisah versi 2.0.8 sampai 2.0.42).
Modul mod_http2 dimuat.
Direktif Protocols mengizinkan h2 (HTTP/2 lewat TLS) atau h2c (HTTP/2 tanpa TLS).

Red Hat menegaskan bahwa server yang hanya melayani HTTP/1.1 tidak rentan. Versi mod_http2 sebelum 2.0.8 juga tidak mengandung kode yang bermasalah.

Situasi yang perlu diwaspadai:

Situasi	Risiko	Catatan
VPS atau dedicated server Apache dengan HTTPS dan HTTP/2 aktif	Tinggi	Konfigurasi umum di banyak panduan “aktifkan HTTP/2 untuk mempercepat situs”
Shared hosting berbasis Apache	Tergantung penyedia	Tambalan menjadi tanggung jawab penyedia hosting; tanyakan statusnya
Container Docker berbasis image Apache (misalnya `httpd`, `php:-apache`, `wordpress:-apache`)	Tergantung konfigurasi	Versi Apache ikut image dasar; periksa apakah HTTP/2 aktif
Apache sebagai reverse proxy di depan aplikasi lain	Tinggi jika HTTP/2 aktif	Server terdepan yang menerima koneksi dari internet
Apache di belakang CDN atau tunnel	Lebih rendah, bukan nol	Tergantung apakah CDN tersambung ke origin memakai HTTP/2; lihat bagian khusus di bawah
Server Apache yang hanya HTTP/1.1	Tidak terdampak celah ini	Tetap perbarui karena 2.4.71 juga menambal celah lain

Status di Distribusi Linux

Banyak server tidak memakai Apache langsung dari situs resminya, melainkan paket dari distribusi Linux. Status per distribusi bisa berbeda:

Red Hat menilai celah ini Critical secara umum, namun memberi label Important untuk RHEL 9 dan RHEL 10 karena alokator memori per-stream di sana membuat eksploitasi lebih sulit. Celahnya tetap ada. RHEL 8 dan sebelumnya disebut tidak terdampak.
Debian: per pelacak keamanan Debian saat artikel ini ditulis, paket di bookworm (Debian 12), trixie (Debian 13), dan forky masih berstatus rentan, sedangkan sid (unstable) sudah memuat versi 2.4.71. Pantau pembaruan keamanan Debian dan jalankan apt upgrade begitu tersedia.
Distribusi lain (Ubuntu, AlmaLinux, Rocky, SUSE, dan lainnya): ikuti advisory masing-masing. Distribusi sering melakukan backport tambalan ke versi lama, sehingga nomor versi di banner tidak selalu mencerminkan status keamanan sebenarnya.

Cara Memeriksa Server Anda

1. Cek versi Apache

apache2 -v        # Debian/Ubuntu
httpd -v          # RHEL/AlmaLinux/Rocky

Jika hasilnya 2.4.55 sampai 2.4.70, lanjutkan ke langkah berikutnya. Untuk paket distribusi, cocokkan dengan advisory distribusi karena bisa saja tambalan sudah di-backport.

2. Cek apakah mod_http2 dimuat

apachectl -M | grep http2

Jika muncul http2_module, modul aktif. Jika tidak ada hasil, modul tidak dimuat dan server Anda tidak bisa diserang lewat celah ini.

3. Cek direktif Protocols

grep -Rni "^\s*Protocols" /etc/apache2/ /etc/httpd/ 2>/dev/null

Baris seperti Protocols h2 h2c http/1.1 atau Protocols h2 http/1.1 menandakan HTTP/2 diizinkan. Perhatikan bahwa pada Debian/Ubuntu, file /etc/apache2/mods-available/http2.conf berisi baris Protocols, tetapi hanya berlaku jika modulnya diaktifkan (ada di mods-enabled).

4. Uji dari luar

curl -sI --http2 https://domain-anda.com -o /dev/null -w "%{http_version}\n"

Hasil 2 berarti server yang menjawab memakai HTTP/2. Jika situs Anda berada di belakang CDN, hasil ini mencerminkan protokol antara Anda dan CDN, bukan antara CDN dan server Apache Anda. Untuk menguji origin, lakukan dari jaringan internal atau langsung ke IP origin.

Cara Memperbaiki

Solusi utama: perbarui ke Apache 2.4.71

Ini satu-satunya perbaikan permanen. Advisory resmi Apache tidak menyertakan workaround. Sesuaikan caranya dengan lingkungan Anda:

Lingkungan	Langkah
Debian/Ubuntu	`sudo apt update && sudo apt upgrade apache2` setelah paket tambalan tersedia, lalu `sudo systemctl restart apache2`
RHEL/AlmaLinux/Rocky	`sudo dnf update httpd mod_http2`, lalu `sudo systemctl restart httpd`
Kompilasi sendiri dari source	Unduh 2.4.71 dari httpd.apache.org, kompilasi ulang, lalu restart
Docker	Tarik ulang image (`docker compose pull`) setelah image dasar memuat versi tambalan, lalu buat ulang container (`docker compose up -d`). Restart saja tidak cukup.
cPanel/WHM, Plesk, panel lain	Jalankan pembaruan sistem dari panel atau tunggu pembaruan otomatis dari vendor panel
Shared hosting	Hubungi penyedia hosting dan tanyakan apakah server sudah ditambal

Setelah memperbarui, pastikan proses Apache benar-benar di-restart. Proses lama yang masih berjalan tetap memakai kode rentan.

Solusi sementara: matikan HTTP/2

Jika paket tambalan belum tersedia untuk distribusi Anda, atau pembaruan belum bisa dilakukan segera, matikan HTTP/2 sampai tambalan terpasang. Karena server yang hanya melayani HTTP/1.1 tidak rentan, langkah ini menutup jalur serangan.

Pilihan A, ubah direktif Protocols menjadi hanya HTTP/1.1:

Protocols http/1.1

Periksa semua lokasi direktif ini, termasuk di dalam blok <VirtualHost>, karena pengaturan per-VirtualHost bisa menimpa pengaturan global.

Pilihan B, nonaktifkan modulnya (Debian/Ubuntu):

sudo a2dismod http2
sudo apachectl configtest
sudo systemctl restart apache2

Di RHEL dan turunannya, beri tanda komentar pada baris LoadModule http2_module di /etc/httpd/conf.modules.d/10-h2.conf, lalu restart httpd.

Konsekuensinya, pengunjung akan tersambung memakai HTTP/1.1. Situs tetap berjalan normal, hanya kehilangan sebagian keuntungan performa HTTP/2. Jika situs berada di belakang CDN, pengunjung umumnya tetap mendapat HTTP/2 atau HTTP/3 dari CDN.

Untuk pengguna mod_h2 versi GitHub

Advisory Apache menyebut mod_h2 dari GitHub versi 2.0.8 sampai 2.0.42 juga terdampak. Repositori mod_h2 (icing/mod_h2) sudah diarsipkan pada Juni 2026 dan rilis terakhirnya adalah 2.0.42. Jika Anda memakai modul terpisah ini, cara paling aman adalah beralih ke mod_http2 bawaan Apache 2.4.71, atau mematikan HTTP/2 sampai itu dilakukan.

Bagaimana Jika Server Saya di Belakang Cloudflare atau CDN?

CDN seperti Cloudflare menerima koneksi pengunjung, lalu membuka koneksi terpisah ke server asal (origin). Apakah Apache Anda menerima HTTP/2 tergantung pada protokol koneksi kedua ini.

Jika CDN tersambung ke origin memakai HTTP/1.1, penyerang yang lewat CDN tidak bisa mengirim frame HTTP/2 ke Apache Anda.
Cloudflare punya opsi untuk tersambung ke origin memakai HTTP/2. Jika opsi ini aktif, origin tetap menerima HTTP/2.
Jika IP origin Anda bisa diakses langsung dari internet, penyerang bisa melewati CDN sepenuhnya. Batasi akses origin hanya untuk IP CDN, atau gunakan tunnel.
Pada Cloudflare Tunnel, cloudflared secara bawaan tersambung ke layanan lokal memakai HTTP/1.1, kecuali opsi http2Origin diaktifkan.

Intinya, CDN bisa mengurangi paparan, tetapi jangan menjadikannya alasan menunda pembaruan.

Apakah Sudah Dieksploitasi?

Red Hat dan analisis Threat Landscape menyebut riset publik telah menunjukkan eksploitasi yang andal terhadap server dengan konfigurasi bawaan (event MPM dengan mod_http2 aktif). Per 12 November 2026, belum ada laporan terkonfirmasi tentang serangan di dunia nyata.

Namun pengalaman dengan celah kritis sebelumnya menunjukkan jeda antara pengumuman dan serangan massal bisa sangat singkat. Celah ini juga tidak memiliki tanda khas di lalu lintas jaringan selain lalu lintas HTTP/2 biasa, sehingga sulit dideteksi oleh WAF atau IDS. Anggap pembaruan sebagai prioritas, bukan sesuatu yang bisa menunggu jadwal pemeliharaan bulanan.

Siapa yang Menemukan?

Advisory Apache mencatat dua pelapor yang menemukan celah ini secara terpisah:

Anthropic’s OSS Scanner, dengan nomor internal ANT-2026-MAPKT6MZ, dilaporkan ke tim keamanan Apache pada 26 Oktober 2026.
Anthony Weems dan Simon Scannell dari Google Cloud Vulnerability Research, dilaporkan pada 3 November 2026.

Perbaikannya masuk ke cabang 2.4.x dan dirilis sebagai Apache 2.4.71 pada 11 November 2026, sekitar dua minggu setelah laporan pertama. Temuan oleh pemindai berbasis AI ini juga menjadi contoh bagaimana alat otomatis kini ikut berperan dalam menemukan celah di perangkat lunak open source yang sangat banyak dipakai.

Celah Lain yang Ikut Ditambal di 2.4.71

CVE	Modul	Tingkat	Versi terdampak	Keterangan
CVE-2026-119618	mod_http2	Critical	2.4.55 sampai 2.4.70	Kerusakan heap dan RCE di `assign_headers()`
CVE-2026-106023	mod_md	Important	2.4.30 sampai 2.4.70	NULL pointer dereference saat memproses permintaan HTTP, membuat proses anak Apache crash
CVE-2026-109163	mod_vhost_alias	Low	2.4.69 dan 2.4.70	Penimpaan 1 byte di stack buffer, lanjutan dari perbaikan CVE-2026-63292

Pengguna mod_md (modul untuk sertifikat otomatis seperti Let’s Encrypt) juga punya alasan kuat untuk memperbarui, karena CVE-2026-106023 bisa dipakai untuk membuat proses Apache crash berulang kali.

Daftar Periksa untuk Admin

Inventarisasi semua server dan container yang menjalankan Apache, termasuk reverse proxy dan server staging.
Catat versi Apache dan apakah mod_http2 aktif di masing-masing.
Prioritaskan server yang menghadap internet dengan HTTP/2 aktif.
Pasang Apache 2.4.71 atau paket tambalan distribusi, lalu restart layanan.
Jika tambalan belum tersedia, matikan HTTP/2 sementara dengan Protocols http/1.1 atau nonaktifkan modulnya.
Untuk Docker, tarik ulang image dan buat ulang container setelah image dasar diperbarui.
Pastikan IP origin tidak bisa diakses langsung jika situs berada di belakang CDN.
Pantau log error Apache untuk crash proses anak yang tidak biasa (misalnya pesan segmentation fault).
Setelah semuanya selesai, aktifkan kembali HTTP/2 jika sebelumnya dimatikan.

Kesimpulan

CVE-2026-119618 adalah celah serius: bisa diserang dari jarak jauh, tanpa login, dengan potensi eksekusi kode. Kabar baiknya, cakupannya jelas. Hanya server Apache 2.4.55 sampai 2.4.70 yang mengaktifkan HTTP/2 yang terdampak, dan ada jalan keluar yang mudah, yaitu memperbarui ke 2.4.71 atau mematikan HTTP/2 untuk sementara. Luangkan sepuluh menit hari ini untuk memeriksa server Anda.

Butuh bantuan memeriksa atau menambal server WordPress Anda? Konsultasikan dengan tim kami lewat WhatsApp.

softovator.com