Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Principais conclusões
- As vulnerabilidades do Apache representam riscos significativos, incluindo vazamentos de dados, ataques de negação de serviço e acesso não autorizado ao servidor.
- A aplicação oportuna de patches é fundamental, mas o suporte oficial à segurança termina quando uma distribuição Linux chega ao fim de sua vida útil.
- O Suporte de Ciclo de Vida Ilimitado da TuxCare oferece atualizações de segurança contínuas, ajudando as organizações a manter o Apache e outros pacotes essenciais protegidos em sistemas Linux em fim de vida útil (EOL).
O termo “Apache” geralmente se refere ao servidor HTTP Apache, um servidor web gratuito, de código aberto e multiplataforma desenvolvido pela Apache Software Foundation. Em 2025, várias vulnerabilidades de gravidade média foram divulgadas publicamente nas versões 2.4.x do servidor HTTP Apache. Como o Apache é, e tem sido há bastante tempo, o servidor web de fato para (a maior parte da) Internet, mesmo vulnerabilidades de baixo impacto que o afetem podem ter efeitos de longo alcance.
Neste artigo, você aprenderá sobre as vulnerabilidades do Apache, por que elas são perigosas e como proteger seus servidores Linux contra os riscos potenciais.
O que são vulnerabilidades do Apache?
As vulnerabilidades do Apache são falhas ou pontos fracos de segurança encontrados no servidor HTTP Apache, por meio dos quais agentes mal-intencionados podem obter acesso não autorizado, interromper serviços e realizar outras atividades maliciosas. Como o Apache, na qualidade de servidor web, hospeda 25,5% de todos os sites em 2025, essas falhas representam um enorme problema de segurança para todos os setores.
Até o momento, em 2025, já foram descobertas nove vulnerabilidades nas versões 2.4.x do Apache HTTP Server, em comparação com as 14 vulnerabilidades relatadas nas versões 2.4.x em 2024.
Tipos comuns de vulnerabilidades do Apache
As vulnerabilidades do servidor HTTP Apache geralmente se enquadram em algumas categorias recorrentes. Compreender essas categorias ajuda as organizações a saber o que devem observar e por que a aplicação oportuna de correções é importante.
Execução remota de código (RCE)
Uma das vulnerabilidades mais perigosas, a RCE permite que invasores executem comandos arbitrários no servidor. No caso do Apache, isso geralmente decorre de falhas na validação de entradas ou do tratamento inadequado das solicitações dos usuários. Uma vulnerabilidade RCE explorada pode levar à tomada de controle total do servidor por um invasor remoto — incluindo roubo de dados, instalação de malware ou o uso do sistema comprometido para lançar novos ataques.
Percorrimento de caminho
Falhas de traversal de caminho ocorrem quando o Apache restringe indevidamente o acesso a diretórios e arquivos. Ao manipular caminhos de URL (por exemplo, usando ../), os invasores conseguem acessar arquivos confidenciais do sistema fora da raiz da web, como hashes de senhas ou configurações. Essas exposições costumam servir como trampolim para invasões mais profundas. Notavelmente, as vulnerabilidades CVE-2021-41773 e CVE-2021-42013 do servidor HTTP Apache envolveram, ambas, uma falha de traversal de caminho que foi posteriormente escalada para a execução remota de código.
Negação de Serviço (DoS)
As vulnerabilidades de DoS no Apache geralmente envolvem sobrecarregar o servidor com solicitações malformadas ou causar um gerenciamento ineficiente de recursos. Um ataque bem-sucedido pode levar à falha do serviço, interromper suas operações ou prejudicar seu desempenho. Mesmo que não haja roubo de dados, o tempo de inatividade se traduz diretamente em prejuízo financeiro e danos à reputação. Relatórios mostram que, para 25% das organizações, cada hora de inatividade do servidor pode custar entre US$ 300.000 e US$ 400.000, tornando os ataques de negação de serviço um risco muito oneroso.
Escalação de privilégios
Em algumas vulnerabilidades, invasores com acesso limitado ao sistema podem obter privilégios mais elevados. Por exemplo, a vulnerabilidade CVE-2019-0211 permitia que processos do Apache sem privilégios executassem comandos como usuário root. Esse tipo de escalonamento de privilégios aumenta o potencial de danos, pois permite que o invasor contorne as restrições normais estabelecidas pela equipe de segurança da empresa e comprometa todo o ambiente do host.
É importante saber:Configurações incorretas podem, às vezes, ser mais perigosas do que as próprias vulnerabilidades. Permissões fracas, configurações padrão ou módulos não utilizados que permanecem ativados são vetores de ataque comuns que abrem portas para agentes mal-intencionados.
Exemplos recentes de vulnerabilidades do Apache
Na lista de vulnerabilidades a seguir, as versões afetadas do Apache vão da versão 2.4.0 até a versão 2.4.63, inclusive. Já estão disponíveis correções para as distribuições Linux afetadas protegidas pelo Endless Lifecycle Support. Você pode consultar informações detalhadas, como CVEs, versões afetadas e disponibilidade de correções, usando o rastreador de CVEs da TuxCare.
Vamos examinar mais de perto as vulnerabilidades conhecidas.
CVE-2024-47252
A primeira edição, CVE-2024-47252, afeta o Apache HTTP Server 2.4.63 e versões anteriores. O problema está em mod_ssl, onde a escapagem insuficiente das entradas fornecidas pelo usuário permite que um invasor insira caracteres de escape nos arquivos de log. A falha é acionada em configurações de registro que utilizam diretivas como %{varname}x ou %{varname}c com variáveis como SSL_TLS_SNI. Como nem mod_ssl nem mod_log_config Se a escapatagem não for realizada corretamente, dados maliciosos fornecidos por um cliente podem acabar sendo registrados nos logs sem serem sanitizados. Embora isso não comprometa diretamente o servidor, permite que invasores manipulem ou corrompam registros de log, o que poderia ocultar rastros de suas atividades da equipe de segurança ou interferir nos esforços de resposta a incidentes.
CVE-2025-23048
CVE-2025-23048 destaca uma falha de segurança mais preocupante no controle de acesso em certos mod_ssl configurações. A vulnerabilidade afeta as versões 2.4.35 a 2.4.63 do servidor HTTP Apache quando a retomada de sessão TLS 1.3 está habilitada. Nos casos em que vários hosts virtuais estão restritos a certificados de cliente diferentes, uma falha permite que um cliente considerado confiável em um host obtenha acesso a outro — mas somente se SSLStrictSNIVHostCheck não está habilitada. Essencialmente, a separação entre hosts virtuais deixa de existir. Essa vulnerabilidade compromete as garantias de segurança esperadas ao usar certificados do lado do cliente para controle de acesso e tem sérias implicações em ambientes multilocatários.
CVE-2025-49630
Esta vulnerabilidade, CVE-2025-49630, mostra como certas opções de configuração podem expor o Apache a riscos de negação de serviço. A vulnerabilidade surge quando o Apache é configurado como um proxy reverso para um backend HTTP/2 com a opção ProxyPreserveHost ativada. Nessas condições, entradas não confiáveis do cliente podem desencadear uma falha de asserção no módulo mod_proxy_http2, fazendo com que o Apache trave. Embora a falha não conceda aos invasores acesso a dados nem a execução de código, ela oferece uma maneira confiável de tirar servidores do ar — uma tática frequentemente usada em campanhas disruptivas ou como parte de uma cadeia de ataques mais ampla.
CVE-2025-49812
O CVE-2025-49812 está relacionado às configurações do mod_ssl que utilizam “SSLEngine optional” para permitir atualizações de TLS. Nessa configuração, um invasor posicionado no meio de uma conexão poderia lançar um ataque de dessincronização HTTP, executando o sequestro de sessões ativas durante o processo de atualização do TLS. O resultado final é a possível apropriação da sessão, com os invasores se passando por usuários legítimos. O Apache corrigiu essa vulnerabilidade removendo o suporte à atualização de TLS na versão 2.4.64, eliminando efetivamente a superfície de ataque.
CVE-2024-40725
Por fim, o CVE-2024-40725 serve como um lembrete de que até mesmo correções podem introduzir novos problemas. Essa vulnerabilidade surgiu nas versões 2.4.60 e 2.4.61 como uma correção parcial para o CVE-2024-39884. A falha está relacionada ao uso obsoleto de diretivas como AddType para a configuração de manipuladores com base no tipo de conteúdo. Sob certas condições, solicitações indiretas de arquivos poderiam expor o código-fonte de scripts locais, como PHP, em vez de executá-los. A divulgação não intencional do código-fonte não apenas vaza lógica confidencial, mas também fornece aos invasores informações valiosas sobre como os aplicativos são construídos. O Apache corrigiu totalmente o problema na versão 2.4.62.
Observação: Muitas vulnerabilidades do Apache, por si só, não permitem o comprometimento total do servidor. Em vez disso, elas costumam funcionar como um primeiro passo crítico em uma cadeia de ataques mais ampla. Portanto, mesmo as CVEs classificadas como de risco baixo a médio devem ser tratadas com urgência para impedir que agentes mal-intencionados transformem uma falha menor em uma violação grave.
Por que as vulnerabilidades do Apache são tão perigosas
O Apache é um dos servidores web mais utilizados no mundo, e essa popularidade também o torna um alvo de grande valor para os invasores. Uma única vulnerabilidade não corrigida no Apache pode comprometer não apenas um sistema, mas, potencialmente, milhares de sites e serviços simultaneamente.
Outra razão pela qual as vulnerabilidades do Apache são perigosas é que muitas delas são fáceis de explorar. Assim que uma exploração de prova de conceito (PoC) é divulgada ao público, os invasores podem automatizar a varredura e a exploração em grande escala. Ferramentas como o Metasploit tornam muito fácil, mesmo para invasores com pouca habilidade, lançar ataques contra servidores sem patch.
As consequências de um comprometimento podem ser graves:
- Vazamentos de dados: No caso de uma violação de segurança, dados pessoais, financeiros ou comerciais ficam expostos.
- Ataques à cadeia de suprimentos: Se o seu servidor Apache hospedar aplicativos ou APIs utilizadas por parceiros, os invasores podem avançar para etapas posteriores da cadeia.
- Prejuízo à marca: Incidentes de segurança relacionados a CVEs de grande repercussão do Apache costumam virar manchete, prejudicando a reputação da marca e a confiança dos clientes.
Estudo de caso: Em 2021, o servidor HTTP Apache falhas de percurso de caminho (CVE-2021-41773 / CVE-2021-42013) foram divulgadas e, em questão de horas ou dias, os pesquisadores observaram uma varredura generalizada de servidores expostos à Internet. Muitas tentativas de exploração foram relatadas logo após a divulgação. A complexidade da exploração era muito baixa, facilitando aos invasores sondar os servidores com URLs manipuladas. Os ataques tentavam acessar arquivos contendo informações sobre o sistema, tais como /etc/passwd, /etc/hosts, ou até mesmo win.ini em sistemas Windows, o que, em última instância, em alguns casos, pode ter levado à divulgação de credenciais ou dados de configuração, permitindo o comprometimento total do sistema.
Como aplicar patches e proteger o servidor HTTP Apache
A proteção do servidor HTTP Apache é um esforço contínuo. Aqui estão as abordagens mais comuns para aplicar correções e proteger o Apache.
Correções de fornecedores
A maneira mais fácil é usar as atualizações de segurança oficiais fornecidas pela sua distribuição Linux. Desde que seu sistema operacional seja compatível, os patches de segurança para o servidor HTTP Apache e outros pacotes estão disponíveis por meio dos gerenciadores de pacotes apt (para Ubuntu/Debian) ou yum/dnf (para RHEL/CentOS).
Atualizações manuais e compilação
Outra opção é baixar o código-fonte mais recente do Apache diretamente do site Apache.org e compilá-lo manualmente. Embora isso garanta o acesso à versão mais recente, essa abordagem é recomendada apenas para usuários experientes, capazes de compilar o pacote. Outra desvantagem desse método é que cada novo CVE exige intervenção manual, o que requer atenção contínua e traz o risco de que a aplicação de patches não seja feita de forma consistente.
Suporte de ciclo de vida ilimitado da TuxCare para Linux
E se o seu servidor de missão crítica estiver rodando em uma distribuição Linux que chegou ao fim de sua vida útil? Sem patches oficiais disponibilizados pelo fornecedor, o sistema fica vulnerável a novas falhas de segurança do Apache, incluindo aquelas que podem levar a um ataque de estouro de buffer. Esse é um cenário comum e crítico para muitas organizações.
É nesse ponto que serviços de suporte estendido, como o Endless Lifecycle Support (ELS) da TuxCare, se tornam essenciais. O ELS oferece atualizações de segurança contínuas para o seu servidor Apache HTTP e diversos outros pacotes, mesmo muito tempo após o término do suporte oficial. Essa abordagem proporciona proteção de nível de fornecedor, ao mesmo tempo em que dá à sua equipe de segurança o tempo necessário para planejar uma migração tranquila, sem a pressão de ter que agir às pressas.
Você também pode saber mais sobre como lidar com o fim da vida útil (EOL) do Apache CXF em nosso guia detalhado, caso sua pilha de tecnologias dependa de frameworks de serviços web de código aberto, ou explorar nosso guia sobre o fim da vida útil (EOL) do Apache Hive, caso utilize ferramentas de data warehouse de código aberto.
Proteja seus servidores Apache com o ELS da TuxCare
Muitas organizações ainda dependem de distribuições Linux em fim de vida útil e de outras ferramentas de código aberto, mesmo quando já não são fornecidas atualizações de segurança. Embora a atualização para uma versão com suporte seja a solução de longo prazo para continuar recebendo correções de segurança, isso costuma ser um desafio devido a problemas de compatibilidade e riscos de tempo de inatividade — sem falar nos custos significativos e no tempo necessário para planejar uma migração tranquila.
No entanto, existe uma abordagem alternativa e econômica: o Endless Lifecycle Support (ELS) da TuxCare. A TuxCare oferece suporte a uma ampla gama de distribuições Linux em fim de vida útil, incluindo: CentOS 6, CentOS 7, CentOS 8, CentOS Stream, Oracle Linux 6, Oracle Linux 7, Ubuntu 16.04, Ubuntu 18.04, Ubuntu 20.04 e RHEL 7.
O ELS abrange mais de 140 pacotes, incluindo as atualizações do kernel do Linux e outros pacotes essenciais, como Apache, PHP, Python, MySQL, glibc, OpenSSL, OpenJDK e outros.
Se você já é cliente do Endless Lifecycle Support, as correções para as vulnerabilidades do Apache mencionadas acima já estão prontas e disponíveis para os sistemas afetados. Caso contrário, este é o momento certo para descobrir como o ELS da TuxCare pode manter seus servidores Apache — e toda a sua pilha de Linux — protegidos mesmo após o fim do ciclo de vida.
