Apache: обход запрета в SSLRequire (CVE-2026-59797)
Если доступ к каталогу закрыт выражением SSLRequire с файловыми функциями, Apache 2.4.0–2.4.68 мог применить правило слабее, чем задумано. Обновите сервер до 2.4.69. Обычный сайт без SSLRequire это не затрагивает.
Коротко о главном
- Чем опасно
- Запрет, записанный через SSLRequire и файловые выражения, мог не сработать так, как ожидал администратор
- С чего начать защиту
- Обновите Apache HTTP Server до 2.4.69 или новее.
- Как подтвердить
- Нужны ручной аудит и проверка реализации. Отсутствие находок во внешнем скане не подтверждает безопасность.
- Продукт
- Apache HTTP Server
- Оценка риска
- Уровень зависит от конфигурации
Как проверить и что учитывать
Нужна ручная проверка
Снаружи не видно, используется ли SSLRequire и файловые выражения. Заголовок сервера часто скрыт и не доказывает CVE-2026-59797. Конфигурацию проверяет администратор. Не делайте вывод о наличии уязвимости только по одному внешнему признаку: подтвердите результат в настройках и версии компонента.
Что нужно для подтверждения
Риск есть только при конкретном выражении доступа, а не у каждого Apache.
Ограничения вывода
- Сайт за Nginx или панелью хостинга может не использовать Apache для этого правила.
- Проект Apache оценил дефект как низкий. Отдельный балл в этой статье не приводим.
Что произошло
mod_ssl обрабатывает условие SSLRequire. В версиях 2.4.0–2.4.68 файловые функции такого выражения в .htaccess могли ослабить задуманный запрет.
Проект Apache 1 октября 2026 года оценил это как low и выпустил исправление в 2.4.69. Это не чтение файлов через обход каталога, которое описано для версий 2.4.49 и 2.4.50.
Кого это касается
Затронут Apache HTTP Server с 2.4.0 по 2.4.68, если доступ реально завязан на SSLRequire и файловые выражения. Без такого правила дефект не к чему применить.
Класс CWE-269 указан в бюллетене проекта. Записи KEV нет.
| Линейка | Затронуто | Исправление |
|---|---|---|
| 2.4 | 2.4.0–2.4.68 | 2.4.69 |
Как проверить установленную версию
Смотрите версию пакета на сервере. Публичный заголовок Server для этого не подходит.
apachectl -vКак снизить риск
Обновитесь до 2.4.69 и проверьте, что закрытый каталог по-прежнему отвечает отказом. Поиск Digest-доступа — отдельная страница про CVE-2026-73636.
Бесплатная внешняя проверка домена не читает конфигурацию Apache и не подтверждает этот CVE.
Что может произойти
- Запрет, записанный через SSLRequire и файловые выражения, мог не сработать так, как ожидал администратор
- Чужие файлы и закрытые адреса оставались под защитой остальных правил, если они не зависели от этого выражения
- Дефект не означает, что любой Apache 2.4 отдаёт сайт без пароля
Как защититься
- 1Обновите Apache HTTP Server до 2.4.69 или новее.
- 2Найдите SSLRequire и выражения с файловыми функциями. Если такого правила нет, этот CVE вас не касается, но обновление всё равно нужно из-за соседних исправлений ветки.
- 3Не заменяйте проверку доступа к файлам одним выражением в .htaccess.
Как проходит проверка
Снаружи не видно, используется ли SSLRequire и файловые выражения. Заголовок сервера часто скрыт и не доказывает CVE-2026-59797. Конфигурацию проверяет администратор. Автоматический результат показывает внешний признак риска и требует проверки специалистом с учётом конкретной конфигурации.
Проверить другие внешние рискиЧто делать после обнаружения
- Зафиксируйте версию httpd до патча.
- Сохраните копию конфигурации с SSLRequire, чтобы понять, какие адреса зависели от выражения.
- После обновления откройте закрытый адрес без права доступа и убедитесь, что отказ сохранился.
Частые вопросы
Что означает риск «Apache: обход запрета в SSLRequire»?
Если доступ к каталогу закрыт выражением SSLRequire с файловыми функциями, Apache 2.4.0–2.4.68 мог применить правило слабее, чем задумано. Обновите сервер до 2.4.69. Обычный сайт без SSLRequire это не затрагивает.
Можно ли подтвердить проблему только внешней проверкой?
Снаружи не видно, используется ли SSLRequire и файловые выражения. Заголовок сервера часто скрыт и не доказывает CVE-2026-59797. Конфигурацию проверяет администратор. Итог нужно сопоставить с конфигурацией, версиями и правами доступа на вашем сайте.
Что сделать в первую очередь?
Обновите Apache HTTP Server до 2.4.69 или новее.