Canonical a publicat pe 10 noiembrie 2026 avertizarea USN-9016-1, care reunește remedieri pentru 17 vulnerabilități Apache HTTP Server. Problemele pot duce, în funcție de versiune și configurație, la blocarea proceselor web, divulgarea informațiilor, ocolirea unor restricții sau executarea de cod. Pentru administratorii de VPS și servere dedicate care folosesc Ubuntu, este important să verifice pachetele efectiv instalate și să aplice actualizările corespunzătoare distribuției. În acest tutorial HOSTEAZA.COM prezentăm versiunile corectate, comenzile de verificare și măsurile recomandate după instalarea patch-urilor.
1. Ce vulnerabilități Apache au fost remediate?
Avertizarea Canonical include 17 identificatori CVE, dar nu toate afectează fiecare versiune Ubuntu. Exploatarea unora depinde de modulele active, de existența unui server backend neîncredere sau de folosirea unor funcții precum WebDAV și autentificarea Digest.
- CVE-2026-56153 și CVE-2026-56449: probleme de memorie care, în anumite condiții, pot provoca refuzul serviciului sau executare de cod.
- CVE-2026-57941: procesarea anumitor conexiuni HTTP/2 în modulul
mod_http2poate provoca blocări sau executare de cod; avertizarea o indică pentru Ubuntu 26.10. - CVE-2026-59797: verificarea unor expresii în
mod_sslpoate permite ocolirea restricțiilor de acces în anumite configurații. - CVE-2026-47360 și CVE-2026-58415: posibilă divulgare a datelor prin tratarea cookie-urilor de sesiune, respectiv a informațiilor WebDAV.
- CVE-2026-63718: interpretarea răspunsurilor de la backend poate facilita atacuri de tip HTTP response smuggling.
- CVE-2026-93546: un utilizator WebDAV autentificat, cu drepturi corespunzătoare, poate provoca blocări sau coruperea datelor de proprietăți.
Lista completă include și CVE-2026-46729, CVE-2026-48005, CVE-2026-56154, CVE-2026-63045, CVE-2026-63292, CVE-2026-63686, CVE-2026-73636 și CVE-2026-79768. Verifică USN-9016-1 pentru condițiile fiecărei vulnerabilități. Publicarea unei corecții nu confirmă automat exploatarea ei în atacuri reale.
2. Ce versiuni Apache sunt corectate pe Ubuntu?
Canonical a publicat următoarele versiuni corectate ale pachetului apache2. Numerele includ sufixele Ubuntu, esențiale pentru identificarea corecțiilor de securitate:
| Versiune Ubuntu | Pachet apache2 corectat |
|---|---|
| Ubuntu 26.10 | 2.4.68-1ubuntu6.1 |
| Ubuntu 26.04 LTS | 2.4.66-2ubuntu2.7 |
| Ubuntu 24.04 LTS | 2.4.58-1ubuntu8.18 |
| Ubuntu 22.04 LTS | 2.4.52-1ubuntu4.26 |
| Ubuntu 20.04 LTS, Ubuntu Pro | 2.4.41-4ubuntu3.23+esm10 |
| Ubuntu 18.04 LTS, Ubuntu Pro | 2.4.29-1ubuntu4.27+esm14 |
| Ubuntu 16.04 LTS, Ubuntu Pro | 2.4.18-2ubuntu3.17+esm23 |
| Ubuntu 14.04 LTS, Ubuntu Pro | 2.4.7-1ubuntu4.22+esm18 |
Pentru Ubuntu 20.04 și edițiile mai vechi, corecțiile enumerate necesită acces la serviciile de securitate Ubuntu Pro corespunzătoare. Dacă serverul rulează o distribuție fără suport activ sau folosește un depozit terț, actualizarea obișnuită poate să nu ofere aceste pachete. Planifică migrarea către o versiune Ubuntu cu suport adecvat.
Atenție la backport: Ubuntu integrează remedieri în propriile pachete Apache, astfel că un număr principal precum 2.4.58 sau 2.4.52 nu dovedește singur vulnerabilitatea. Compară versiunea completă a pachetului și avertizarea distribuitorului, nu doar rezultatul comenzii apache2 -v.
3. Tutorial: cum verifici Apache pe VPS Ubuntu
Conectează-te prin SSH cu un cont autorizat și identifică distribuția, executabilul și pachetul instalat:
cat /etc/os-release
command -v apache2
apache2 -v
dpkg-query -W -f='${Package} ${Version}\n' apache2
apt-cache policy apache2Dacă apache2 nu există, nu instala programul doar pentru verificare. Serverul poate folosi exclusiv NGINX, LiteSpeed sau un proxy gestionat de altă aplicație. Comanda apt-cache policy arată versiunea instalată și candidata din depozitele configurate; confruntă-le cu tabelul de mai sus.
Verifică dacă există actualizări disponibile și care sunt modulele încărcate:
sudo apt update
apt list --upgradable
sudo apache2ctl -MLista modulelor ajută la evaluarea expunerii pentru http2, dav, ssl ori proxy. Un modul dezactivat poate elimina anumite condiții de exploatare, dar nu înlocuiește actualizarea pachetului. Dacă folosești Ubuntu Pro pe o versiune veche, verifică separat starea abonamentului cu pro status.
4. Cum instalezi în siguranță actualizarea Apache?
Înainte de modificări, realizează un backup al site-urilor, bazelor de date și configurației serverului. Asigură acces la consola VPS și planifică o fereastră de mentenanță. Creează și o copie suplimentară a configurației Apache:
sudo cp -a /etc/apache2 /root/apache2-backup-$(date +%F)
sudo apache2ctl configtestDacă testul nu returnează Syntax OK, investighează eroarea înainte de actualizare. Apoi instalează pachetul corectat din depozitele Ubuntu configurate:
sudo apt update
sudo apt install --only-upgrade apache2
sudo apache2ctl configtest
sudo systemctl restart apache2
sudo systemctl status apache2 --no-pagerDacă ai instalat și pachetul apache2-dev, actualizează-l separat sau printr-un upgrade de sistem verificat. Repornește serviciul într-o fereastră potrivită pentru trafic, deoarece conexiunile active pot fi întrerupte. Verifică ulterior principalele domenii HTTPS, redirecționările, formularele și comunicația cu aplicațiile din spatele proxy-ului. Dacă sunt erori, consultă jurnalul cu sudo journalctl -u apache2 -n 100 --no-pager.
5. Cum confirmi că serverul este protejat?
Execută din nou dpkg-query -W apache2 și apt-cache policy apache2. Compară versiunea completă instalată cu pachetul corectat pentru ediția Ubuntu utilizată. Poți consulta și istoricul actualizărilor prin grep apache2 /var/log/dpkg.log, dacă înregistrările relevante mai există.
Dacă Apache a fost instalat printr-un panou de control sau compilat separat, pachetul apache2 din Ubuntu poate să nu fie cel care deservește site-urile. De exemplu, cPanel EasyApache folosește propriile pachete și proceduri de actualizare; nu înlocui arbitrar acea instalare cu Apache din APT. Același principiu se aplică imaginilor Docker și programelor instalate manual.
O actualizare reușită trebuie confirmată prin trei verificări: pachet corectat, serviciu pornit cu noul executabil și funcționare normală a site-urilor. Un firewall sau un WAF poate reduce anumite riscuri, dar nu repară vulnerabilitățile din modulele Apache.
6. Recomandările Hosteaza pentru securitatea serverelor web
Monitorizează periodic buletinele Canonical, păstrează Apache și modulele necesare actualizate, dezactivează funcționalitățile neutilizate și limitează accesul administrativ. Pe un server cu mai multe aplicații, verifică separat PHP, bazele de date, serviciile proxy și copiile de siguranță. Nu presupune că un singur update rezolvă toate vulnerabilitățile infrastructurii.
Pe un server VPS Hosteaza poți administra propriul sistem Ubuntu și configura Apache conform necesităților aplicației. Pentru proiecte cu resurse mai mari și control asupra hardware-ului, poți consulta serverele dedicate Hosteaza. Administrarea și disponibilitatea actualizărilor depind de sistemul și serviciul contractat; alegerea unui pachet nu înlocuiește mentenanța de securitate.
Surse oficiale: Canonical USN-9016-1, Apache HTTP Server Security Advisories și arhiva Ubuntu Security Notices.
