CVE-2026-124040: use-after-free in CivetWeb HTTP/2

CVE-2026-124040 descrive una vulnerabilità use-after-free nel web server CivetWeb versione 1.16 e precedenti quando compilato con USE_HTTP2 e HTTP/2 abilitato. La falla risiede nella funzione handle_http2(), che mantiene in memoria puntatori già liberati ai pseudo-header HTTP/2 :method e :path. Attaccanti non autenticati possono inviare frame HEADERS successivi privi di questi pseudo-header per influenzare l'interpretazione della richiesta o causare il crash del server.

Il CVSS ufficiale è 8,1 (High). La vulnerabilità consente il bypass delle regole di accesso e la negazione del servizio. È stata pubblicata su NVD il 6 novembre 2026 e segnalata su repository GitHub il 8 novembre: ciò indica che repository pubblici dichiarano di contenere codice di exploit o proof-of-concept. Non sono state confermate sfruttamenti attivi in ambienti produttivi al momento della pubblicazione.

Gli amministratori devono verificare se CivetWeb è in uso negli ambienti gestiti e se HTTP/2 è abilitato nella compilazione. Se entrambe le condizioni sussistono, pianificare un upgrade a una versione successiva alla 1.16 non appena disponibile. Nel frattempo, monitorare il traffico HTTP/2 per richieste anomale, disabilitare HTTP/2 se fattibile, e verificare i log di crash del server. Le distribuzioni che incorporano CivetWeb devono essere controllate per patch dedicate.