Spett.le Visitatore,

informiamo che oggi, giovedì 11 giugno 2026, abbiamo installato tutti gli aggiornamenti urgenti per la sicurezza dei webserver Apache resi disponibili da pochi minuti sui mirror dei repository che segue e completa le patch preventive per Apache Webserver 2.4.67 di cui abbiamo dato comunicazione la scorsa settimana, 4 giugno, avanzando all'ultima versione 2.4.68.

L’intervento è stato eseguito a seguito della pubblicazione del changelog ufficiale Apache, che segnala la correzione di diverse vulnerabilità di sicurezza presenti nelle versioni precedenti di Apache 2.4, fino alla 2.4.67.

L’aggiornamento ha carattere preventivo e rientra nelle normali attività di manutenzione e protezione dell’infrastruttura.

Principali categorie di vulnerabilità corrette

Denial of Service, DoS

Alcune vulnerabilità corrette potevano consentire a un attaccante di inviare richieste HTTP appositamente costruite con l’obiettivo di consumare risorse del server, generare blocchi, crash di processi o degrado delle prestazioni.

In termini pratici, un attacco di tipo DoS può rendere un sito temporaneamente lento, instabile o non raggiungibile, senza necessariamente compromettere i dati, ma impattando sulla disponibilità del servizio.

Tra i casi corretti rientrano problematiche relative al modulo HTTP/2, alla gestione della memoria, a loop anomali e a condizioni di esaurimento delle risorse.

Memory corruption, buffer overflow e use-after-free

Il changelog segnala diverse correzioni relative a errori nella gestione della memoria, come buffer overflow, buffer over-read, heap underflow e use-after-free.

Queste vulnerabilità riguardano situazioni in cui il software può leggere o scrivere memoria in modo non corretto. A seconda del contesto, possono causare crash, instabilità del servizio, esposizione di informazioni o, nei casi peggiori e più complessi, aprire la strada ad attacchi più gravi.

Le vulnerabilità corrette interessano moduli come 'mod_http2', 'mod_proxy_html', 'mod_xml2enc', 'mod_headers', 'mod_mime', 'mod_ssl', 'mod_ldap' e funzioni interne del server.

Escalation di privilegi e lettura non autorizzata di file

Una vulnerabilità corretta riguarda la gestione delle espressioni in file '.htaccess' e poteva consentire ad autori locali di configurazioni '.htaccess' di leggere file con i privilegi dell’utente con cui gira Apache.

In un contesto hosting, questa categoria è particolarmente rilevante perché può riguardare scenari in cui utenti o applicazioni con permessi limitati riescano ad accedere a informazioni non previste.

L’aggiornamento riduce quindi il rischio di accesso improprio a file locali del server.

Cross-Site Scripting, XSS

È stata corretta anche una vulnerabilità XSS nel modulo 'mod_proxy_ftp', relativa alla generazione di liste directory HTML in configurazioni proxy FTP.

Un attacco XSS consente, in determinate condizioni, di far eseguire codice JavaScript malevolo nel browser dell’utente che visita una pagina vulnerabile. Il rischio può includere furto di sessioni, alterazione dei contenuti visualizzati, reindirizzamenti indesiderati o interazioni fraudolente con l’utente.

Nel caso specifico, la vulnerabilità era legata a configurazioni che utilizzano funzionalità FTP tramite proxy.

Rischi collegati a proxy e backend non fidati

Alcune correzioni riguardano moduli proxy e scenari in cui Apache comunica con backend non fidati o potenzialmente compromessi.

In questi casi, un backend malevolo potrebbe inviare risposte costruite in modo anomalo per causare crash, corruzione della memoria o comportamenti non previsti nel server front-end.

Questa categoria è importante soprattutto per infrastrutture che usano Apache come reverse proxy davanti ad applicazioni, servizi interni o backend multipli.

WebDAV e manipolazione di risorse

È stata corretta una vulnerabilità in 'mod_dav_fs' relativa alla gestione dei percorsi e delle proprietà DAV.

In presenza di WebDAV attivo e di utenti autorizzati alla scrittura, la vulnerabilità poteva consentire manipolazioni non previste dei database delle proprietà DAV, con possibili crash dei processi figli di Apache.

OCSP, SSL e gestione certificati

Una correzione riguarda 'mod_ssl' e le richieste OCSP verso server OCSP controllati da un attaccante.

OCSP è un meccanismo utilizzato per verificare lo stato di revoca dei certificati SSL/TLS. La vulnerabilità corretta era relativa a una lettura oltre i limiti previsti della memoria durante richieste OCSP in uscita.

L’attività di aggiornamento è necessario in quanto consente di:

* ridurre il rischio di indisponibilità dei siti;
* mitigare vulnerabilità legate al protocollo HTTP/2;
* correggere problemi di gestione della memoria;
* ridurre il rischio di accessi impropri a file locali;
* migliorare la sicurezza delle configurazioni proxy, SSL, WebDAV e dei moduli Apache coinvolti;
* mantenere l’infrastruttura allineata alle raccomandazioni ufficiali del progetto Apache.