insomnisec/detections-cve-2026-23918CVE-2026-23918 Apache http2 RCE के लिए पहचान नियम - श्रेय: stringa.ai, isec.pl
प्रकाशित: 2026-05-04
CVSSv3: 8.8 (उच्च)
प्रकार: दूरस्थ कोड निष्पादन / सेवा अस्वीकार (दोहरी-मुक्त मेमोरी भ्रष्टाचार)
घटक: Apache HTTP सर्वर mod_http2 (h2_mplx.c स्ट्रीम सफाई पथ)
प्रभावित: Apache HTTP सर्वर 2.4.66 HTTP/2 सक्षम और मल्टी-थ्रेडेड MPM के साथ
संदर्भ:
CVE-2026-23918 Apache HTTP सर्वर 2.4.66 के HTTP/2 प्रोटोकॉल कार्यान्वयन में एक दोहरी-मुक्त मेमोरी भ्रष्टाचार भेद्यता है, जो केवल mod_http2 मॉड्यूल के h2_mplx.c में स्ट्रीम सफाई पथ को प्रभावित करती है। यह एक अप्रमाणित दूरस्थ हमलावर को एकल TCP कनेक्शन और दो HTTP/2 फ्रेम के साथ Apache कार्यकर्ता प्रक्रियाओं को क्रैश करने (सेवा अस्वीकार) की अनुमति देता है। Debian-व्युत्पन्न सिस्टम और आधिकारिक Apache Docker इमेज पर मौजूद शर्तों के तहत, इस दोहरी-मुक्त को पूर्ण दूरस्थ कोड निष्पादन में आकार दिया जा सकता है।
DoS शोषण की पुष्टि वास्तविक दुनिया में हो चुकी है। HTTP/2 एंडपॉइंट को लक्षित करने वाले बड़े पैमाने पर इंटरनेट स्कैन देखे गए हैं। RCE शोषण को नियंत्रित वातावरण में व्यवहार्य साबित किया गया है, हालांकि इस समय RCE के लिए व्यापक सार्वजनिक शोषण का कोई सबूत नहीं है।
MPM prefork प्रभावित नहीं है — भेद्यता के लिए मल्टी-थ्रेडेड MPM कॉन्फ़िगरेशन (worker, event, या समान) की आवश्यकता है। CVE-2026-23918 केवल Apache HTTP सर्वर संस्करण 2.4.66 को प्रभावित करता है।
Attacker opens HTTP/2 connection to Apache 2.4.66 (mod_http2 loaded, multi-threaded MPM) └─ Sends HTTP/2 HEADERS frame on stream N (opens the stream) └─ Immediately sends RST_STREAM on stream N (non-zero error code) └─ Sent BEFORE the multiplexer has registered the stream
Two nghttp2 callbacks fire in sequence: ├─ on_frame_recv_cb (RST received) → calls h2_mplx_c1_client_rst → m_stream_cleanup └─ on_stream_close_cb (stream closed) → calls h2_mplx_c1_client_rst → m_stream_cleanup
Result: same h2_stream pointer pushed onto spurge[] cleanup array TWICE
c1_purge_streams() iterates spurge[] and calls h2_stream_destroy() on each entry: ├─ First call: valid — frees the stream └─ Second call: DOUBLE-FREE — operates on already-freed memory → heap corruption
DoS path (trivial, in the wild): └─ Heap corruption → SIGABRT in worker process → worker dies → service disruption
RCE path (requires mmap allocator — default on Debian/Ubuntu and official Docker): └─ Attacker places fake h2_stream struct at freed virtual address via mmap reuse └─ Points pool cleanup function pointer to system() └─ Uses Apache scoreboard shared memory (fixed address, ASLR-resistant) as payload container └─ c1_purge_streams() executes system() with attacker-controlled argument → RCE
> **Key asymmetry:** DoS पथ के लिए कोई हीप मैनिपुलेशन कौशल की आवश्यकता नहीं है और इसका सक्रिय रूप से शोषण किया जा रहा है। RCE पथ तकनीकी रूप से मांग वाला है लेकिन प्रयोगशाला स्थितियों में प्रदर्शित किया गया है और स्कोरबोर्ड के ASLR-प्रतिरोधी निश्चित पते को देखते हुए निकट भविष्य में लगभग निश्चित रूप से हथियारबंद किया जाएगा।
---
## डिटेक्शन आर्किटेक्चर
> यह खंड बताता है कि यहां डिटेक्शन टूलिंग एक सामान्य स्थानीय विशेषाधिकार वृद्धि पैकेज से काफी भिन्न क्यों है।
Copy Fail (CVE-2026-31431) एक **होस्ट-साइड, पोस्ट-एक्सेस** कमज़ोरी थी। हमलावर को सिस्टम पर मौजूदा उपस्थिति की आवश्यकता थी। डिटेक्शन मुख्य रूप से syscall लेयर (auditd, Wazuh) पर रहता था, जिसमें डिस्क पर PoC स्क्रिप्ट के लिए YARA स्कैनिंग होती थी।
CVE-2026-23918 एक **नेटवर्क-साइड, प्री-एक्सेस** कमज़ोरी है। एक्सप्लॉइट वायर पर HTTP/2 प्रोटोकॉल फ्रेम के रूप में आता है, इससे पहले कि कोई एप्लिकेशन कोड चले। यह डिटेक्शन स्टैक को महत्वपूर्ण रूप से बदल देता है:
| Layer | Copy Fail (LPE) | CVE-2026-23918 (RCE) |
|---|---|---|
| **Primary detection** | Auditd syscall नियम | Suricata नेटवर्क नियम |
| **WAF (ModSecurity)** | सीमित — एक्सप्लॉइट नहीं देख सकता | प्रासंगिक — एनॉमली + पोस्ट-एक्सप्लॉइट |
| **Auditd** | कोर डिटेक्शन | परिणाम डिटेक्शन (क्रैश, पोस्ट-एक्सप्लॉइट) |
| **YARA** | PoC स्क्रिप्ट के लिए स्कैन | वेब शेल (पोस्ट-एक्सप्लॉइट आर्टिफैक्ट) के लिए स्कैन |
| **Network IDS** | लागू नहीं | प्रथम श्रेणी डिटेक्शन लेयर |
| **TLS inspection** | N/A | पूर्ण Suricata कवरेज के लिए आवश्यक |
अंगूठे का नियम: नेटवर्क-स्तरीय RCE के लिए, बाहर से अंदर की ओर काम करें (नेटवर्क → WAF → होस्ट)। स्थानीय विशेषाधिकार वृद्धि के लिए, होस्ट से बाहर की ओर काम करें।
---
## डिटेक्शन सीमाएँ
> **कोई भी नियम तैनात करने से पहले इसे पढ़ें।**
**1. TLS HTTP/2 दृश्यता को समाप्त करता है।**
अधिकांश उत्पादन Apache तैनातियाँ HTTPS प्रदान करती हैं। TLS डिक्रिप्शन कॉन्फ़िगर किए बिना Suricata एन्क्रिप्टेड HTTP/2 फ्रेम की सामग्री का निरीक्षण नहीं कर सकता। यदि आपकी Suricata तैनाती के पास TLS सत्र कुंजियों या डिक्रिप्शन मिरर तक पहुँच नहीं है, तो नीचे दिए गए नेटवर्क-स्तरीय नियम केवल पकड़ेंगे:
- क्लियरटेक्स्ट HTTP/2 (h2c) — उत्पादन में असामान्य लेकिन आंतरिक वातावरण में मौजूद
- TCP कनेक्शन व्यवहार का नेटवर्क सिग्नेचर (कनेक्शन गणना, TCP लेयर पर RST पैटर्न)
HTTPS तैनातियों के लिए, `tls-decrypt` सेटिंग और सत्र कुंजी लॉगिंग के माध्यम से Suricata की TLS डिक्रिप्शन सक्षम करें, या इसके बजाय WAF (ModSecurity/Coraza) और होस्ट-आधारित (auditd/Wazuh) लेयर पर भरोसा करें।
**2. ModSecurity एक्सप्लॉइट ट्रिगर को ब्लॉक नहीं कर सकता।**
डबल-फ्री HTTP/2 फ्रेम पार्सर के अंदर होता है, इससे पहले कि एक पूर्ण HTTP अनुरोध इकट्ठा हो और ModSecurity को पास किया जाए। WAF अनुरोध को केवल फ्रेम पार्सिंग पूर्ण होने के बाद देखता है — उस बिंदु पर नुकसान पहले ही हो चुका हो सकता है। इस पैकेज में ModSecurity का उपयोग एनॉमली डिटेक्शन, रेट लिमिटिंग और पोस्ट-एक्सप्लॉइटेशन डिटेक्शन के लिए किया जाता है, न कि ट्रिगर के ब्लॉकर के रूप में।
**3. MPM prefork अप्रभावित है।**
यदि आपकी Apache तैनाती `mpm_prefork_module` (एकल-थ्रेडेड) का उपयोग करती है, तो यह कमज़ोरी लागू नहीं होती। बग केवल मल्टी-थ्रेडेड MPMs (`mpm_event_module` या `mpm_worker_module`) में प्रकट होता है। prefork सर्वरों पर गलत सकारात्मक उत्पन्न करने वाले नियमों को तैनात करने से पहले `apachectl -V | grep MPM` से जाँच करें।
**4. RCE के लिए mmap आवंटक की आवश्यकता है।**
RCE पथ (DoS पथ नहीं) के लिए APR के mmap आवंटक की आवश्यकता है, जो Debian-व्युत्पन्न वितरणों और आधिकारिक Apache Docker इमेज पर डिफ़ॉल्ट है। jemalloc या system malloc का उपयोग करने वाली RHEL/CentOS-आधारित तैनातियों में RCE जोखिम कम होता है, लेकिन वे अभी भी DoS के लिए पूरी तरह से कमजोर हैं।
**5. अभी तक कोई स्थिर पोस्ट-एक्सप्लॉइटेशन IoCs नहीं।**
इस लेखन के समय तक पोस्ट-एक्सप्लॉइटेशन गतिविधि के लिए कोई विक्रेता-प्रकाशित IoCs मौजूद नहीं हैं। पोस्ट-एक्सप्लॉइटेशन व्यवहार को लक्षित करने वाले YARA नियम और auditd नियम सामान्य वेब शेल और विशेषाधिकार वृद्धि पैटर्न पर आधारित हैं — वे सामान्य परिणामों को पकड़ लेंगे लेकिन एक परिष्कृत, विशेष पेलोड को नहीं।
---
## तत्काल शमन
प्राथमिकता के क्रम में लागू करें। प्रत्येक पिछले से अधिक विघटनकारी है, लेकिन प्रत्येक अधिक पूर्ण है।```bash
# Option 1 (Preferred): Upgrade to 2.4.67
# See Patching & Remediation section below
# Option 2: Disable HTTP/2 in Apache config (no reboot required, restart required)
# In httpd.conf or relevant VirtualHost / site config:
# Remove or comment out: Protocols h2 h2c http/1.1
# Replace with: Protocols http/1.1
# Then:
apachectl configtest && sudo systemctl restart apache2
# Option 3: Switch to MPM prefork (eliminates vulnerability entirely — more disruptive)
sudo a2dismod mpm_event mpm_worker
sudo a2enmod mpm_prefork
apachectl configtest && sudo systemctl restart apache2
# Option 4: Reverse proxy HTTP/2 termination
# If nginx, HAProxy, or a CDN is in front of Apache and terminates HTTP/2,
# Apache only receives HTTP/1.1 — confirm your proxy config explicitly:
# nginx: proxy_http_version 1.1; (already the default for upstream connections)
# HAProxy: use-server-close + http/1.1 on backend bind
# Verify with: curl -v --http2 https://your-origin-directly
अपने शमन को सत्यापित करें: HTTP/2 को अक्षम करने के बाद, इसके साथ पुष्टि करें:
curl -s -o /dev/null -w "%{http_version}" --http2 http://localhost/ # Should return "1.1", not "2" apachectl -M | grep http2 # Should produce no output
इसे cve-2026-23918.rules के रूप में सहेजें और suricata.yaml से संदर्भित करें।
पूर्वापेक्षाएँ:
- Suricata 6.0+
http2.frametype/http2.errorcodeकीवर्ड समर्थन के लिए (Suricata 7.x अनुशंसित)suricata.yamlमेंapp-layer.protocols.http2.enabled: yes- HTTPS कवरेज के लिए TLS डिक्रिप्शन कॉन्फ़िगर किया गया (ऊपर पहचान सीमाएँ देखें)
$HTTP_SERVERSवेरिएबल आपके Apache होस्ट्स को शामिल करने के लिए सेट किया गया- नीचे दिए गए SIDs उदाहरण हैं — अपनी स्थानीय SID नीति के अनुसार समायोजित करें```
alert http2 $EXTERNAL_NET any -> $HTTP_SERVERS any
(msg:"CVE-2026-23918 Apache mod_http2 Double-Free - RST_STREAM with non-zero error code";
flow:established,to_server;
http2.frametype:3;
http2.errorcode:!0;
classtype:web-application-attack;
reference:cve,2026-23918;
sid:9926231801; rev:1;)
alert http2 $EXTERNAL_NET any -> $HTTP_SERVERS any
(msg:"CVE-2026-23918 Apache mod_http2 Double-Free - RST_STREAM flood (active DoS/exploit scan)";
flow:established,to_server;
http2.frametype:3;
http2.errorcode:!0;
threshold: type both, track by_src, count 10, seconds 30;
classtype:denial-of-service;
reference:cve,2026-23918;
sid:9926231802; rev:1;)
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS [80,8080,8000,8443]
(msg:"CVE-2026-23918 Apache mod_http2 - HTTP/2 RST_STREAM frame detected (cleartext)";
flow:established,to_server;
content:"|00 00 04 03 00|"; depth:5; offset:0;
threshold: type both, track by_src, count 5, seconds 30;
classtype:web-application-attack;
reference:cve,2026-23918;
sid:9926231803; rev:1;)
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS [80,8080,8000]
(msg:"CVE-2026-23918 Apache mod_http2 - HTTP/2 client preface with rapid RST_STREAM (exploit pattern)";
flow:established,to_server;
content:"PRI * HTTP/2.0|0d 0a 0d 0a|SM|0d 0a 0d 0a|"; depth:24; offset:0;
content:"|00 00 04 03|"; distance:0; within:512;
classtype:web-application-attack;
reference:cve,2026-23918;
sid:9926231804; rev:1;)
alert http $HTTP_SERVERS any -> $EXTERNAL_NET any
(msg:"CVE-2026-23918 Apache 2.4.66 version string in response - vulnerable version exposed";
flow:established,to_client;
http.header; content:"Apache/2.4.66";
classtype:policy-violation;
reference:cve,2026-23918;
sid:9926231805; rev:1;)
alert tcp $HTTP_SERVERS [80,443,8080,8443] -> $EXTERNAL_NET ![$HTTP_PORTS,443,80]
(msg:"CVE-2026-23918 Apache possible post-RCE reverse shell - outbound from web server port";
flow:established,to_server;
classtype:trojan-activity;
reference:cve,2026-23918;
sid:9926231806; rev:1;)
### ट्यूनिंग नोट्स
`alert` मोड में 24–48 घंटे डिप्लॉय करने के बाद, नियम 3 और 4 पर हिट्स की समीक्षा करें — वैध HTTP/2 क्लाइंट उच्च-ट्रैफ़िक वातावरण में इन्हें ट्रिगर कर सकते हैं। यदि नियम 1 (एप्लिकेशन लेयर) पर्याप्त सिग्नल कैप्चर कर रहा है, तो नियम 3 और 4 को कम गंभीरता पर ले जाया जा सकता है या हटाया जा सकता है।
Suricata डिप्लॉयमेंट में `stream-depth` सीमाओं के साथ, सुनिश्चित करें कि नियम 4 में HTTP/2 प्रीफ़ेस पैटर्न निरीक्षण विंडो के अंतर्गत आता है।
---
## ModSecurity / Coraza कॉन्फ़िगरेशन
> **पूर्वापेक्षाएँ:**
> - ModSecurity 2.x (`libapache2-mod-security2`) या [Coraza](https://coraza.io/) (ड्रॉप-इन उत्तराधिकारी, सक्रिय रूप से अनुरक्षित)
> - OWASP कोर रूल सेट (CRS) 4.x अनुशंसित: [coreruleset.org/installation](https://coreruleset.org/installation/)
> - `SecRuleEngine On` (या प्रारंभिक ट्यूनिंग के दौरान केवल-लॉगिंग मोड के लिए `DetectionOnly`)
### ModSecurity यहाँ प्रासंगिक क्यों है (लेकिन पर्याप्त नहीं)
जैसा कि डिटेक्शन लिमिटेशन अनुभाग में उल्लेख किया गया है, ModSecurity डबल-फ्री ट्रिगर को इंटरसेप्ट नहीं कर सकता क्योंकि एक्सप्लॉइट HTTP/2 फ्रेम लेयर पर संचालित होता है। हालाँकि, ModSecurity इस CVE के लिए तीन सार्थक परतें प्रदान करता है:
1. **रेट लिमिटिंग** — स्वचालित DoS स्कैनिंग को धीमा करता है और RCE हीप स्प्रे को ब्रूट-फोर्स करने की लागत बढ़ाता है
2. **पोस्ट-एक्सप्लॉइटेशन डिटेक्शन** — यदि RCE प्राप्त होता है, तो हमलावर वेब शेल तैनात करने या कमांड निष्पादित करने का प्रयास करेगा; ModSecurity दोनों को पकड़ सकता है
3. **OWASP CRS अनॉमली स्कोरिंग** — एक्सप्लॉइटेशन से जुड़े दूषित हेडर और कनेक्शन पैटर्न, CRS पैरानोया लेवल 2+ के तहत अनॉमली स्कोर कर सकते हैं
### Apache कॉन्फ़िगरेशन हार्डनिंग (ModSecurity के साथ लागू करें)
`httpd.conf` या किसी इन्क्लूड फ़ाइल में जोड़ें। ये Apache डायरेक्टिव हैं, ModSecurity नियम नहीं, लेकिन ये HTTP/2 अटैक सरफेस को कम करते हैं:```apache
# ============================================================
# CVE-2026-23918 Apache HTTP/2 Hardening Directives
# ============================================================
# Limit concurrent streams per HTTP/2 session.
# The exploit typically uses 1 stream, but limiting sessions
# reduces the rate at which a single client can attempt the trigger.
H2MaxSessionRequests 100
# Restrict H2 stream push (unused surface, reduce complexity)
H2Push Off
# Suppress version information in Server headers.
# Prevents trivial identification of vulnerable 2.4.66 instances.
ServerTokens Prod
ServerSignature Off
# Constrain HTTP/2 window size — reduces memory available for heap spray
H2WindowSize 65535
# If HTTP/2 is not required at all:
# Protocols http/1.1
इन्हें अपनी ModSecurity कस्टम नियम फ़ाइल में सहेजें (जैसे, /etc/modsecurity/cve-2026-23918.conf):```apache
SecAction
"id:9923918001,
phase:1,
nolog,
pass,
initcol:ip=%{REMOTE_ADDR},
setvar:ip.http2_requests=+1,
expirevar:ip.http2_requests=60"
SecRule ip:http2_requests "@gt 30"
"id:9923918002,
phase:1,
deny,
status:429,
log,
msg:'CVE-2026-23918: Rate limit exceeded - possible DoS/exploit scan',
tag:'CVE-2026-23918',
tag:'OWASP_CRS/DoS',
severity:'CRITICAL'"
SecAction
"id:9923918003,
phase:1,
nolog,
pass,
initcol:ip=%{REMOTE_ADDR}"
SecRule RESPONSE_STATUS "@rx ^(4|5)[0-9]{2}"
"id:9923918004,
phase:5,
nolog,
pass,
setvar:ip.error_count=+1,
expirevar:ip.error_count=120"
SecRule ip:error_count "@gt 20"
"id:9923918005,
phase:1,
log,
pass,
msg:'CVE-2026-23918: Elevated error rate from source IP - possible exploit scanning',
tag:'CVE-2026-23918',
severity:'WARNING'"
SecRule REQUEST_BODY
"@rx (?:system|exec|passthru|shell_exec|popen|proc_open)\s*(\s*(?:$_(?:GET|POST|REQUEST|COOKIE)|base64_decode)"
"id:9923918010,
phase:2,
deny,
status:403,
log,
msg:'CVE-2026-23918: Possible web shell command execution in POST body',
tag:'CVE-2026-23918',
tag:'WEBSHELL',
severity:'CRITICAL'"
SecRule ARGS
"@rx (?:(?:^|[;&|`])\s*(?:id|whoami|uname|cat\s+/etc|ls\s+/|pwd|wget\s+http|curl\s+http|bash\s+-[ci]|nc\s+-[el]|python[23]?\s+-c|perl\s+-e|ruby\s+-e))"
"id:9923918011,
phase:2,
deny,
status:403,
log,
msg:'CVE-2026-23918: OS command injection pattern in request arguments - possible post-exploit web shell',
tag:'CVE-2026-23918',
tag:'WEBSHELL',
severity:'CRITICAL'"
SecRule FILES_TMPNAMES "@inspectFile /etc/modsecurity/util/php-filter.pm"
"id:9923918012,
phase:2,
log,
deny,
status:403,
msg:'CVE-2026-23918: PHP code detected in file upload - possible web shell deployment',
tag:'CVE-2026-23918',
tag:'WEBSHELL',
severity:'CRITICAL'"
SecRule REQUEST_BODY|ARGS
"@rx (?:bash\s+-i\s+>&?\s*/dev/tcp|/dev/tcp/[0-9]{1,3}.[0-9]{1,3}|nc\s+(?:-e|-c)\s+/bin/(?:bash|sh)|python[23]?\s+-c\s+['"]import\s+socket)"
"id:9923918013,
phase:2,
deny,
status:403,
log,
msg:'CVE-2026-23918: Reverse shell pattern in request - possible post-exploit activity',
tag:'CVE-2026-23918',
tag:'REVERSE_SHELL',
severity:'CRITICAL'"
### OWASP CRS ट्यूनिंग अनुशंसा
सबसे अधिक असामान्यता संकेत बिना अत्यधिक गलत सकारात्मकता के लिए, CRS को पैरानोइया स्तर 2 पर तैनात करें, जिसमें असामान्यता स्कोरिंग सक्षम हो। ट्रिगर करने वाला कनेक्शन व्यवहार (गलत HTTP/2 जो HTTP/1.x फॉलबैक त्रुटियों की ओर ले जाता है, बार-बार रीसेट) CRS नियमों 920xxx और 921xxx के अंतर्गत असामान्यता स्कोर जमा करेगा और डिफ़ॉल्ट `inbound_anomaly_score_threshold` 5 का उल्लंघन कर सकता है, जिससे बिना कस्टम नियमों के अलर्ट उत्पन्न होते हैं।
---
## Auditd नियम
`/etc/audit/rules.d/cve-2026-23918.rules` के रूप में सहेजें
`sudo augenrules --load` के साथ पुनर्लोड करें
> **डिज़ाइन सिद्धांत:** चूंकि एक्सप्लॉइट ट्रिगर नेटवर्क/कर्नेल HTTP/2 पार्सिंग लेयर पर रहता है, auditd स्वयं ट्रिगर को पकड़ नहीं सकता। ये नियम पहचानते हैं:
> 1. DoS शोषण का **परिणाम** (Apache वर्कर क्रैश सिग्नल)
> 2. यदि RCE प्राप्त होता है तो **पोस्ट-एक्सप्लॉइटेशन गतिविधि** (Apache उपयोगकर्ता द्वारा शेल निष्पादन, फ़ाइल लेखन, बाहरी कनेक्शन)```bash
## ============================================================
## CVE-2026-23918 Apache HTTP/2 Double-Free — Auditd Rules
## ============================================================
## These rules detect the CONSEQUENCES of exploitation, not the
## trigger. The trigger is a network protocol event and is
## detected by Suricata. These rules catch:
## 1. Apache worker process crashes (DoS outcome)
## 2. Shell execution by the web server user (RCE outcome)
## 3. Web root file creation (web shell deployment)
## 4. Outbound network connections by web server process (reverse shell)
##
## Distribution notes for UID values:
## - Debian/Ubuntu: www-data = uid 33
## - RHEL/Rocky/CentOS: apache = uid 48
## Adjust -F uid= values for your distribution. Use `id www-data`
## or `id apache` to confirm the UID on your systems.
## ============================================================
## --- Apache worker SIGABRT detection (DoS exploitation outcome) ---
## A double-free that reaches the crash path generates SIGABRT (signal 6).
## Monitoring kill() syscalls with a1=6 (SIGABRT) targets abnormal process
## termination, which Apache itself triggers on double-free detection.
## Correlate with Apache error log entries (child exited with signal 6).
-a always,exit -F arch=b64 -S kill -F a1=6 -k cve_2026_23918_sigabrt
-a always,exit -F arch=b32 -S kill -F a1=6 -k cve_2026_23918_sigabrt
## --- SIGSEGV monitoring (alternative crash path) ---
## Depending on heap state, the double-free may produce a SIGSEGV (signal 11)
## rather than SIGABRT. Both are abnormal for production Apache workers.
-a always,exit -F arch=b64 -S kill -F a1=11 -k cve_2026_23918_sigsegv
-a always,exit -F arch=b32 -S kill -F a1=11 -k cve_2026_23918_sigsegv
## --- Shell execution by web server user (RCE outcome - Debian/Ubuntu) ---
## If RCE is achieved via the mmap allocator path, the attacker's payload
## runs as the Apache worker user (www-data on Debian/Ubuntu, uid=33).
## Legitimate Apache does not exec() a shell. Any execve() of bash/sh/dash
## by www-data is anomalous and warrants immediate investigation.
-a always,exit -F arch=b64 -S execve -F uid=33 -F exe=/bin/bash -k cve_2026_23918_rce_shell_deb
-a always,exit -F arch=b64 -S execve -F uid=33 -F exe=/bin/sh -k cve_2026_23918_rce_shell_deb
-a always,exit -F arch=b64 -S execve -F uid=33 -F exe=/bin/dash -k cve_2026_23918_rce_shell_deb
-a always,exit -F arch=b64 -S execve -F uid=33 -F exe=/usr/bin/python3 -k cve_2026_23918_rce_shell_deb
-a always,exit -F arch=b64 -S execve -F uid=33 -F exe=/usr/bin/perl -k cve_2026_23918_rce_shell_deb
## --- Shell execution by web server user (RCE outcome - RHEL/Rocky, uid=48) ---
-a always,exit -F arch=b64 -S execve -F uid=48 -F exe=/bin/bash -k cve_2026_23918_rce_shell_rhel
-a always,exit -F arch=b64 -S execve -F uid=48 -F exe=/bin/sh -k cve_2026_23918_rce_shell_rhel
## --- Web root file creation (web shell deployment) ---
## Post-RCE, the most common next step is writing a persistent web shell.
## Monitor web root directories for new file creation and write operations.
## Adjust paths for your DocumentRoot configuration.
-w /var/www/html -p wa -k cve_2026_23918_webroot_write
-w /var/www -p wa -k cve_2026_23918_webroot_write
-w /srv/www -p wa -k cve_2026_23918_webroot_write
-w /usr/share/apache2/default-site -p wa -k cve_2026_23918_webroot_write
## --- Outbound network connections by web server user (reverse shell) ---
## Apache workers do not normally initiate outbound TCP connections.
## connect() syscalls by www-data/apache indicate post-exploitation activity.
-a always,exit -F arch=b64 -S connect -F uid=33 -k cve_2026_23918_apache_outbound_deb
-a always,exit -F arch=b64 -S connect -F uid=48 -k cve_2026_23918_apache_outbound_rhel
## --- Apache config and module modification (persistence) ---
## An attacker with RCE may attempt to persist by modifying Apache config
## or dropping a malicious module. Watch for writes to config directories.
-w /etc/apache2 -p wa -k cve_2026_23918_apache_config
-w /etc/httpd -p wa -k cve_2026_23918_apache_config
-w /etc/apache2/mods-enabled -p wa -k cve_2026_23918_apache_mods
परिनियोजन के बाद, क्रैश-फिर-शेल अनुक्रमों की जांच करने के लिए इस ausearch एक-लाइनर का उपयोग करें:```bash
sudo ausearch -k cve_2026_23918_sigabrt
-k cve_2026_23918_rce_shell_deb
-k cve_2026_23918_rce_shell_rhel
-k cve_2026_23918_webroot_write
--start yesterday -i
sudo ausearch -k cve_2026_23918_rce_shell_deb --start today -i | grep -A5 "exe="
---
## Wazuh नियम
एक कस्टम नियम फ़ाइल के रूप में सहेजें (जैसे, `/var/ossec/etc/rules/local_rules.xml`)।
> **पूर्वापेक्षाएँ:**
> - ऊपर तैनात Auditd नियम और Wazuh auditd डिकोडर सक्रिय
> - Apache त्रुटि लॉग (`/var/log/apache2/error.log` या `/var/log/httpd/error_log`) Wazuh निगरानी की गई फ़ाइलों में जोड़ा गया
> - HTTP/2 कनेक्शन त्रुटि पैटर्न के लिए Apache एक्सेस लॉग की निगरानी की गई```xml
<!-- ==============================================================
CVE-2026-23918 Apache HTTP/2 Double-Free — Wazuh Rules
Requires:
- auditd rules from cve-2026-23918.rules deployed
- Apache error log monitored by Wazuh agent
============================================================== -->
<!-- Level 10: Apache worker crash signal (SIGABRT) detected via auditd -->
<rule id="113001" level="10">
<if_group>auditd</if_group>
<field name="audit.key">cve_2026_23918_sigabrt</field>
<description>CVE-2026-23918: SIGABRT sent to process — possible Apache worker double-free crash (DoS exploitation)</description>
<group>cve,denial_of_service,apache,http2,</group>
</rule>
<!-- Level 10: SIGSEGV variant crash path -->
<rule id="113002" level="10">
<if_group>auditd</if_group>
<field name="audit.key">cve_2026_23918_sigsegv</field>
<description>CVE-2026-23918: SIGSEGV sent to process — possible Apache worker memory corruption crash</description>
<group>cve,denial_of_service,apache,http2,</group>
</rule>
<!-- Level 14 CRITICAL: Multiple worker crashes in short window — active DoS -->
<rule id="113003" level="14" frequency="3" timeframe="60">
<if_matched_sid>113001</if_matched_sid>
<description>CVE-2026-23918 CRITICAL: Multiple Apache worker SIGABRT crashes within 60 seconds — active DoS exploitation in progress</description>
<group>cve,denial_of_service,apache,http2,high_confidence,</group>
</rule>
<!-- Level 15 CRITICAL: Shell execution by web server user — RCE achieved -->
<rule id="113004" level="15">
<if_group>auditd</if_group>
<field name="audit.key">cve_2026_23918_rce_shell_deb|cve_2026_23918_rce_shell_rhel</field>
<description>CVE-2026-23918 CRITICAL: Shell executed by web server user (www-data/apache) — RCE likely achieved, immediate incident response required</description>
<group>cve,rce,privilege_escalation,apache,http2,high_confidence,</group>
</rule>
<!-- Level 14 CRITICAL: Web shell written to web root -->
<rule id="113005" level="14">
<if_group>auditd</if_group>
<field name="audit.key">cve_2026_23918_webroot_write</field>
<description>CVE-2026-23918: File written to web root directory — possible web shell deployment post-RCE</description>
<group>cve,rce,webshell,apache,</group>
</rule>
<!-- Level 13 CRITICAL: Outbound connection by Apache worker process -->
<rule id="113006" level="13">
<if_group>auditd</if_group>
<field name="audit.key">cve_2026_23918_apache_outbound_deb|cve_2026_23918_apache_outbound_rhel</field>
<description>CVE-2026-23918: Outbound TCP connection by web server user — possible reverse shell post-RCE</description>
<group>cve,rce,reverse_shell,apache,</group>
</rule>
<!-- Level 14: RCE shell followed by outbound connection (reverse shell confirmed) -->
<rule id="113007" level="14">
<if_matched_sid>113004</if_matched_sid>
<if_group>auditd</if_group>
<field name="audit.key">cve_2026_23918_apache_outbound_deb|cve_2026_23918_apache_outbound_rhel</field>
<description>CVE-2026-23918 CRITICAL: Shell execution AND outbound connection by web server user — reverse shell active</description>
<group>cve,rce,reverse_shell,apache,high_confidence,</group>
</rule>
<!-- Level 12: Apache config modified (persistence attempt) -->
<rule id="113008" level="12">
<if_group>auditd</if_group>
<field name="audit.key">cve_2026_23918_apache_config|cve_2026_23918_apache_mods</field>
<description>CVE-2026-23918: Apache config or module directory modified — possible attacker persistence attempt</description>
<group>cve,rce,persistence,apache,</group>
</rule>
<!-- Level 10: Apache error log — child process crash (log-based correlation) -->
<!-- Requires Apache error log monitored by Wazuh, decoded via apache decoder -->
<rule id="113009" level="10">
<decoded_as>apache-errorlog</decoded_as>
<match>child pid \d+ exit signal Aborted|child process \d+ still did not exit|segmentation fault</match>
<description>CVE-2026-23918: Apache child process crash in error log — possible double-free DoS exploitation</description>
<group>cve,denial_of_service,apache,http2,</group>
</rule>
<!-- Level 13: Multiple Apache child crashes in error log + auditd SIGABRT (high confidence) -->
<rule id="113010" level="13">
<if_matched_sid>113009</if_matched_sid>
<if_matched_sid>113001</if_matched_sid>
<description>CVE-2026-23918: Apache error log crash + auditd SIGABRT — high-confidence active DoS, investigate immediately</description>
<group>cve,denial_of_service,apache,http2,high_confidence,</group>
</rule>
cve_2026_23918.yar के रूप में सहेजें
महत्वपूर्ण दायरा नोट: Copy Fail (CVE-2026-31431) के विपरीत, YARA इस भेद्यता के लिए शोषण ट्रिगर का पता नहीं लगा सकता। ट्रिगर एक नेटवर्क कनेक्शन पर भेजे गए दो कच्चे HTTP/2 फ्रेम हैं — स्कैन करने के लिए कोई स्क्रिप्ट या फ़ाइल नहीं है। नीचे दिए गए YARA नियम लक्षित करते हैं:
- पोस्ट-एक्सप्लॉटेशन वेब शैल जो सफल RCE के बाद तैनात किए जा सकते हैं
- रिवर्स शेल वन-लाइनर्स और वेब-एक्सेसिबल फ़ाइलों में एन्कोडेड पेलोड
- एक्सप्लॉइट टूल स्वयं यदि यह पिवट होस्ट या हमलावर स्टेजिंग सर्वर पर मौजूद है
अनुशंसित स्कैन दायरा: वेब रूट निर्देशिकाएं (
/var/www/,/srv/www/), Apache अस्थायी निर्देशिकाएं (/tmp/,/var/tmp/), औरwww-dataयाapacheके स्वामित्व वाली हाल ही में बनाई गई फ़ाइलें।```yara rule CVE_2026_23918_PostExploit_PHP_WebShell { meta: description = "Post-exploitation PHP web shell — possible CVE-2026-23918 outcome" author = "Detection Engineering" reference = "https://insomnisec.com/posts/2026-05-05-cve-2026-23918-apache-http2-rce_v2/" cve = "CVE-2026-23918" date = "2026-05-08" severity = "Critical" note = "Not specific to CVE-2026-23918 trigger — detects likely post-exploitation artifacts"
strings:
$php_open = "<?php" ascii nocase
$php_short = "<?" ascii nocase
// OS command execution functions
$sys = "system(" ascii nocase
$exec = "exec(" ascii nocase
$passthru = "passthru(" ascii nocase
$shell_exec = "shell_exec(" ascii nocase
$popen = "popen(" ascii nocase
$proc_open = "proc_open(" ascii nocase
// Parameter sourcing — required for command injection
$get_param = "$_GET[" ascii
$post_param = "$_POST[" ascii
$req_param = "$_REQUEST[" ascii
$cookie_param = "$_COOKIE[" ascii
$server_param = "$_SERVER[" ascii
// Obfuscation patterns common in web shells
$b64decode = "base64_decode(" ascii nocase
$str_rot13 = "str_rot13(" ascii nocase
$gzinflate = "gzinflate(" ascii nocase
$eval_call = "eval(" ascii nocase
// Common web shell capability strings
$phpinfo = "phpinfo()" ascii nocase
$file_put = "file_put_contents(" ascii nocase
condition:
filesize < 512KB and
(
// Classic command web shell: PHP + execution function + parameter input
($php_open or $php_short) and
any of ($sys, $exec, $passthru, $shell_exec, $popen, $proc_open) and
any of ($get_param, $post_param, $req_param, $cookie_param)
)
or
(
// Obfuscated web shell: eval + decode chain
($php_open or $php_short) and
$eval_call and
any of ($b64decode, $str_rot13, $gzinflate)
)
}
rule CVE_2026_23918_PostExploit_ReverseShell_InFile { meta: description = "Reverse shell one-liner in web-accessible file — possible post-RCE persistence" author = "Detection Engineering" cve = "CVE-2026-23918" date = "2026-05-08" severity = "Critical" note = "Scan web directories and /tmp; may also appear in crontabs and rc.local"
strings:
// Bash TCP reverse shell
$bash_tcp = "/dev/tcp/" ascii
$bash_rev = "bash -i >&" ascii nocase
// Netcat reverse shell
$nc_e = "nc -e /bin/" ascii nocase
$nc_c = "nc -c /bin/" ascii nocase
$ncat_e = "ncat -e /bin/" ascii nocase
// Python reverse shell
$py_socket = "import socket,subprocess" ascii
$py_pty = "import pty;pty.spawn" ascii
// Perl reverse shell
$perl_rev = "perl -e 'use Socket" ascii
// Common reverse shell via curl/wget pipe to bash
$curl_bash = "curl http" ascii
$wget_bash = "wget -O- http" ascii
$bash_pipe = "|bash" ascii
condition:
filesize < 1MB and
(
($bash_tcp and $bash_rev)
or ($nc_e or $nc_c or $ncat_e)
or ($py_socket and $py_pty)
or $perl_rev
or ($curl_bash and $bash_pipe)
or ($wget_bash and $bash_pipe)
)
}
rule CVE_2026_23918_ExploitTool_Artifacts { meta: description = "CVE-2026-23918 exploit tool artifacts — for scanning attacker staging hosts or memory dumps" author = "Detection Engineering" reference = "https://hadrian.io/blog/cve-2026-23918-apache-http-server-double-free-rce-in-http-2-implementation" cve = "CVE-2026-23918" date = "2026-05-08" severity = "High" note = "Matches known PoC tool strings — not expected in production Apache environments"
strings:
// h2_mplx.c specific identifier from public PoC analysis
$mplx_ref = "h2_mplx_c1_client_rst" ascii
$spurge_ref = "c1_purge_streams" ascii
$stream_ref = "h2_stream_destroy" ascii
// CVE reference strings that appear in PoC tools
$cve_str = "CVE-2026-23918" ascii
$version_target = "Apache/2.4.66" ascii
// HTTP/2 HEADERS + RST_STREAM frame bytes (common in PoC HTTP/2 libraries)
// HTTP/2 HEADERS frame header: type=0x01
$h2_headers_frame = { 00 00 ?? 01 }
// HTTP/2 RST_STREAM frame header: type=0x03 with payload=4
$h2_rst_frame = { 00 00 04 03 00 }
// Python h2 library usage (hyper-h2) typical in PoC tools
$hyper_h2 = "import h2" ascii
$h2_connection = "H2Connection" ascii
condition:
(
($mplx_ref or $spurge_ref or $stream_ref)
or
($cve_str and $version_target)
or
($hyper_h2 and $h2_connection and $h2_rst_frame)
)
}
---
## MISP ईवेंट टेम्पलेट
इसे `misp_cve_2026_23918.json` के रूप में सहेजें और MISP → Events → Import के माध्यम से आयात करें।
> आयात से पहले प्लेसहोल्डर UUIDs को नव निर्मित UUID4s से बदलें।```json
{
"Event": {
"uuid": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
"info": "CVE-2026-23918 Apache mod_http2 Double-Free — Remote DoS and possible RCE",
"threat_level_id": "2",
"analysis": "2",
"date": "2026-05-04",
"Attribute": [
{
"type": "vulnerability",
"category": "External analysis",
"to_ids": false,
"uuid": "b2c3d4e5-f6a7-8901-bcde-f12345678901",
"comment": "CVE identifier",
"value": "CVE-2026-23918"
},
{
"type": "text",
"category": "Other",
"to_ids": false,
"uuid": "c3d4e5f6-a7b8-9012-cdef-012345678902",
"comment": "Vulnerability description",
"value": "Double-free in Apache HTTP Server 2.4.66 mod_http2 h2_mplx.c stream cleanup path. Triggered by HTTP/2 HEADERS frame immediately followed by RST_STREAM with non-zero error code before stream registration. Results in DoS (confirmed in-wild) or RCE (lab-demonstrated) in multi-threaded MPM configurations."
},
{
"type": "text",
"category": "Other",
"to_ids": false,
"uuid": "d4e5f6a7-b8c9-0123-defa-123456789003",
"comment": "Affected component",
"value": "Apache HTTP Server 2.4.66, mod_http2 module, h2_mplx.c — multi-threaded MPM only (event, worker). MPM prefork is NOT affected."
},
{
"type": "text",
"category": "Other",
"to_ids": false,
"uuid": "e5f6a7b8-c9d0-1234-efab-234567890104",
"comment": "RCE precondition",
"value": "RCE requires APR mmap allocator (default on Debian/Ubuntu and official Apache Docker images). Scoreboard at fixed address bypasses ASLR for practical exploitation."
},
{
"type": "text",
"category": "Other",
"to_ids": false,
"uuid": "f6a7b8c9-d0e1-2345-fabc-345678901205",
"comment": "Fix commit — r1930444",
"value": "https://svn.apache.org/viewvc?view=revision&revision=1930444"
},
{
"type": "text",
"category": "Other",
"to_ids": false,
"uuid": "a7b8c9d0-e1f2-3456-abcd-456789012306",
"comment": "Fix commit — r1930796",
"value": "https://svn.apache.org/viewvc?view=revision&revision=1930796"
},
{
"type": "text",
"category": "Other",
"to_ids": true,
"uuid": "b8c9d0e1-f2a3-4567-bcde-567890123407",
"comment": "IoC: HTTP/2 frame trigger sequence",
"value": "HTTP/2 HEADERS frame (type=0x01) immediately followed by RST_STREAM (type=0x03) with non-zero error code, same stream ID, before multiplexer stream registration"
},
{
"type": "text",
"category": "Other",
"to_ids": true,
"uuid": "c9d0e1f2-a3b4-5678-cdef-678901234508",
"comment": "IoC: RST_STREAM frame bytes (raw)",
"value": "00 00 04 03 00 [stream_id 4 bytes] [non-zero error code 4 bytes]"
},
{
"type": "text",
"category": "Other",
"to_ids": true,
"uuid": "d0e1f2a3-b4c5-6789-defa-789012345609",
"comment": "IoC: Server response header (vulnerable version)",
"value": "Server: Apache/2.4.66"
},
{
"type": "text",
"category": "Other",
"to_ids": true,
"uuid": "e1f2a3b4-c5d6-7890-efab-890123456710",
"comment": "Exploitation status",
"value": "DoS exploitation confirmed in the wild. RCE demonstrated in lab conditions; widespread weaponization anticipated."
},
{
"type": "text",
"category": "Other",
"to_ids": false,
"uuid": "f2a3b4c5-d6e7-8901-fabc-901234567811",
"comment": "Immediate mitigation",
"value": "Disable mod_http2: remove 'Protocols h2 h2c' from Apache config and restart. Or switch to MPM prefork. Definitive fix: upgrade to Apache HTTP Server 2.4.67."
},
{
"type": "url",
"category": "External analysis",
"to_ids": false,
"uuid": "a3b4c5d6-e7f8-9012-abcd-012345678912",
"comment": "Apache official advisory",
"value": "https://httpd.apache.org/security/vulnerabilities_24.html"
},
{
"type": "url",
"category": "External analysis",
"to_ids": false,
"uuid": "b4c5d6e7-f8a9-0123-bcde-123456789013",
"comment": "oss-security disclosure",
"value": "https://seclists.org/oss-sec/2026/q2/387"
}
],
"Object": [
{
"name": "vulnerability",
"meta-category": "vulnerability",
"Attribute": [
{
"type": "vulnerability",
"object_relation": "id",
"value": "CVE-2026-23918"
},
{
"type": "cvss-score",
"object_relation": "cvss-score",
"value": "8.8"
},
{
"type": "text",
"object_relation": "summary",
"value": "Apache mod_http2 double-free via HTTP/2 early reset — remote DoS and possible RCE"
}
]
}
]
}
}
| संस्करण | स्थिति | कार्रवाई |
|---|---|---|
| 2.4.67 | पैच किया गया | लक्ष्य संस्करण |
| 2.4.66 | कमजोर |
वितरण अपडेट कमांड्स:
अपग्रेड करने के बाद, सत्यापित करें:```bash apache2 -v # or httpd -v
### 2.4.67 में पैच किए गए अन्य CVE
2.4.67 रिलीज़ पाँच CVEs को संबोधित करती है। CVE-2026-23918 के साथ दो सबसे महत्वपूर्ण हैं:
- **CVE-2026-24072** — विंडोज़ पर CGI स्क्रिप्ट हैंडलिंग के माध्यम से विशेषाधिकार वृद्धि (केवल विंडोज़ तैनातियों को प्रभावित करता है)
- **CVE-2026-24081** — `mod_rewrite` अभिव्यक्ति मूल्यांकन `.htaccess` लेखकों को httpd उपयोगकर्ता के रूप में मनमानी फ़ाइलें पढ़ने की अनुमति देता है (2.4.66 और पुराने संस्करणों को प्रभावित करता है, रिपोर्ट किया गया 2026-01-20)
- **CVE-2026-24088** — दुर्भावनापूर्ण AJP बैकएंड से निर्मित AJP संदेशों के माध्यम से `mod_proxy_ajp` में हीप बफ़र ओवरफ़्लो (2.4.66 और पुराने संस्करणों को प्रभावित करता है)
2.4.67 में अपग्रेड करना एक ही कार्रवाई में सभी पाँचों को ठीक कर देता है।
---
## प्रमुख IoCs संदर्भ
| संकेतक | मान | विश्वास स्तर | टिप्पणियाँ |
|---|---|---|---|
| प्रभावित संस्करण | सर्वर हेडर में `Apache/2.4.66` | **उच्च** | अकेले उपस्थिति जोखिम को इंगित करती है |
| HTTP/2 फ्रेम प्रकार | गैर-शून्य त्रुटि कोड के साथ RST_STREAM (0x03) | मध्यम | वैध कनेक्शन त्रुटियाँ भी यही उत्पन्न करती हैं |
| फ्रेम बाइट पैटर्न | `00 00 04 03 00` (RST_STREAM हेडर) | मध्यम | थ्रेशोल्ड के साथ संयुक्त = उच्च |
| RST बाढ़ थ्रेशोल्ड | एक ही स्रोत से 30 सेकंड में >10 RST_STREAM/गैर-शून्य त्रुटि | **उच्च** | वास्तविक दुनिया के DoS टूलिंग के अनुरूप |
| Apache वर्कर पर SIGABRT | `httpd`/`apache2` PID को भेजा गया सिग्नल 6 | **उच्च** | सामान्य वर्कर abort नहीं करते |
| www-data द्वारा शेल निष्पादन | uid 33 या 48 द्वारा `bash`/`sh` का `execve()` | **गंभीर** | दृढ़ता से RCE इंगित करता है |
| Apache उपयोगकर्ता द्वारा आउटबाउंड कनेक्ट | uid 33 या 48 द्वारा बाहरी IP पर `connect()` | **गंभीर** | दृढ़ता से रिवर्स शेल इंगित करता है |
| वेब रूट में वेब फ़ाइल निर्माण | `/var/www` के अंतर्गत नई `.php`/`.py`/`.sh` लिखी गई | **उच्च** | वेब शेल तैनाती का संकेत हो सकता है |
| MPM प्रकार | `mpm_prefork` | N/A — **प्रभावित नहीं** | `apachectl -V \| grep MPM` से सत्यापित करें |
| RCE पूर्वशर्त | APR mmap आवंटक | प्रासंगिक | डेबियन/उबंटू पर डिफ़ॉल्ट; RHEL डिफ़ॉल्ट नहीं |
---
*डिटेक्शन पैकेज Apache HTTP सर्वर सुरक्षा सलाहकारों के विरुद्ध बनाए रखा गया है [httpd.apache.org/security](https://httpd.apache.org/security/) पर। यदि आप इन नियमों द्वारा कवर नहीं किए गए शोषण वेरिएंट या पोस्ट-शोषण पैटर्न देखते हैं, तो कृपया एक issue खोलें।*
| तुरंत अपग्रेड करें |
| 2.4.65 और पहले के | इस विशिष्ट बग से प्रभावित नहीं | अन्य ज्ञात CVE हो सकते हैं — सलाह की समीक्षा करें |
| वितरण | कमांड |
|---|
| Ubuntu / Debian | sudo apt-get update && sudo apt-get upgrade apache2 |
| RHEL / Rocky / AlmaLinux | sudo dnf update httpd |
| Amazon Linux | sudo dnf update httpd |
| SUSE / openSUSE | sudo zypper update apache2 |
| Arch Linux | sudo pacman -Syu |