# Apache corregge una vulnerabilità critica di HTTP/2 che può consentire l’esecuzione di codice da remoto

L’11 novembre 2026 Apache ha rilasciato la versione 2.4.71 del suo HTTP Server, che corregge una vulnerabilità critica nel modulo che gestisce le connessioni HTTP/2. Sui server non aggiornati con le versioni dalla 2.4.55 alla 2.4.70 e HTTP/2 attivo, un attaccante potrebbe eseguire codice da remoto.

- Pagina: https://www.cognivise.co.uk/it/news/vulnerabilita-http-2-apache-cve-2026-119618
- Originale (inglese): https://www.cognivise.co.uk/news/apache-http-2-flaw-cve-2026-119618-what-check
- Argomento: Gestire il software
- Pubblicato: 2026-11-12
- Aggiornato: 2026-11-12
- Autore: Cognivise
- Fonte: Wordfence (press), PSA: Critical Apache HTTP/2 Vulnerability: What WordPress Site Owners Should Know (https://www.wordfence.com/blog/2026/11/cve-2026-119618-apache-http2/)

## Punti chiave

- Apache HTTP Server 2.4.71, rilasciato l’11 novembre 2026, corregge CVE-2026-119618, una vulnerabilità critica di HTTP/2 che riguarda le versioni dalla 2.4.55 alla 2.4.70.
- Sono esposti solo i server Apache che accettano HTTP/2 tramite il modulo interessato, e aggiornare WordPress o i suoi plugin non risolve il problema.
- Chiedi al tuo provider o sviluppatore di confermare che la correzione è installata e Apache riavviato, oppure di disattivare HTTP/2 finché non è disponibile un pacchetto corretto.

## Cosa ha corretto Apache nella versione 2.4.71

L’11 novembre 2026 Apache ha rilasciato HTTP Server 2.4.71 e pubblicato un bollettino su CVE-2026-119618, una vulnerabilità in mod_http2, la parte di Apache che gestisce le richieste HTTP/2. Apache la classifica come critica. Sono interessate le versioni dalla 2.4.55 alla 2.4.70, così come le release autonome di mod_h2 dalla 2.0.8 alla 2.0.42, secondo un riepilogo pubblicato da [Wordfence](https://www.wordfence.com/blog/2026/11/cve-2026-119618-apache-http2/) il 12 novembre.

La vulnerabilità è stata segnalata ad Apache il 26 ottobre dall’OSS Scanner di Anthropic e, in modo indipendente, il 3 novembre dai ricercatori di Google Cloud Vulnerability Research. Red Hat la descrive come un’esecuzione di codice da remoto che non richiede alcun login quando HTTP/2 è attivo. Un ricercatore ha pubblicato dei test che mostrano crash sulla 2.4.70, ma Wordfence non ha trovato alcuna dimostrazione pubblica di esecuzione di codice, e Wiz non segnalava attacchi noti in corso all’11 novembre.

## Quali server sono esposti

Apache è un software per server web che sta davanti a molti siti, tra cui siti WordPress. Un attacco riuscito potrebbe permettere a qualcuno di eseguire il proprio codice con gli stessi privilegi del server web, e quindi di raggiungere i siti e i dati presenti su quella macchina.

Sono esposti solo i server che accettano HTTP/2 tramite il modulo interessato. Apache usa HTTP/1.1 a meno che HTTP/2 non sia attivato nella sua configurazione. Un sito che offre HTTP/2 ai visitatori può trovarsi dietro una CDN o un load balancer che comunica con Apache in HTTP/1.1: quello che conta, quindi, è come è configurato Apache stesso.

Aggiornare WordPress, i plugin, i temi o un plugin di sicurezza non risolve il problema. La correzione riguarda il software del server, che è sotto il controllo del tuo provider se usi un hosting condiviso o gestito.

## Cosa chiedere subito al tuo provider o sviluppatore

I dettagli sono pubblici dall’11 novembre, quindi trattala come un’urgenza invece di aspettare un aggiornamento di routine.

- Su un hosting condiviso o gestito, chiedi al tuo provider se il server Apache dietro il tuo sito accetta HTTP/2 (h2 o h2c), se la correzione per CVE-2026-119618 è installata e se Apache è stato riavviato dopo.
- Se il server lo gestisci tu o il tuo sviluppatore, installa la 2.4.71 o il pacchetto corretto del tuo fornitore e riavvia Apache. I fornitori di sistemi operativi, pannelli di controllo e container possono distribuire la correzione con un numero di versione diverso, quindi segui il loro bollettino e non solo il numero.
- Se una correzione non è ancora disponibile, fai disattivare HTTP/2 in Apache finché non lo sarà, poi riattivalo. Secondo Red Hat, un server che gestisce solo traffico HTTP/1.1 non è a rischio per questa vulnerabilità.
- Assicurati di avere un backup recente sia dei file del sito sia del database. Non impedirà un attacco, ma aiuta nel ripristino.

Se non sai con certezza chi debba applicare le correzioni al server, controlla il tuo [contratto di manutenzione software](https://www.cognivise.co.uk/blog/software-maintenance-contract-guide) prima della prossima vulnerabilità di questo tipo. Cognivise offre [assistenza e manutenzione continuativa](https://www.cognivise.co.uk/it/servizi/assistenza-e-manutenzione-software) alle aziende che non hanno nessuno chiaramente responsabile dei propri server.

## Leggi anche

- [Assistenza e manutenzione continuativa](https://www.cognivise.co.uk/it/servizi/assistenza-e-manutenzione-software)
- [Contratti di manutenzione software: cosa include un contratto equo](https://www.cognivise.co.uk/blog/software-maintenance-contract-guide)
- [Cosa dovrebbe coprire l’assistenza software dopo il lancio?](https://www.cognivise.co.uk/blog/what-application-support-covers)