Bài viết & Thông báo

CVE-2026-23918 trong Apache HTTP/2: lỗi double free ở luồng cleanup stream

CVE-2026-23918 là một lỗ hổng thuộc nhóm double free trong module mod_http2 của Apache HTTP Server. Lỗi xuất hiện khi quá trình xử lý HTTP/2 stream đưa cùng một đối tượng stream vào hàng đợi cleanup nhiều hơn một lần. Khi cơ chế dọn dẹp được thực thi, Apache có thể gọi hàm giải phóng bộ nhớ hai lần trên cùng một vùng nhớ, dẫn đến heap corruption và làm worker process bị crash. Về mặt vận hành, tác động trực tiếp và dễ quan sát nhất là từ chối dịch vụ (Denial of Service). Trong một số điều kiện triển khai cụ thể, lỗi double free có thể trở thành tiền đề cho thực thi mã từ xa (Remote Code Execution). Tuy nhiên, khả năng này phụ thuộc vào allocator, hệ điều hành, cấu hình Apache và mức độ kiểm soát layout heap của attacker. Vì vậy, rủi ro cần được đánh giá theo cấu hình thực tế thay vì xem mọi hệ thống Apache bật HTTP/2 đều có cùng mức độ nguy hiểm