В Apache httpd нашли переполнение буфера в mod_vhost_alias

Ubuntu выпустила уведомление USN-8931-1 от 14 октября 2026 года, закрывающее девять уязвимостей Apache httpd. Главная — CVE-2026-63292 с оценкой 7.5: переполнение стека в mod_vhost_alias срабатывает при Host-заголовке длиннее 8192 байт, если VirtualDocumentRoot использует спецификатор имени хоста, а LimitRequestFieldSize поднят выше значения по умолчанию 8190 байт.

• CVE-2026-63292 получила CVSS 7.5 и класс CWE-121
• Триггер требует Host-заголовка длиннее 8192 байт
• LimitRequestFieldSize по умолчанию 8190 байт, его нужно поднять
• В патч вошли ещё CVE-2026-58415, CVE-2026-73636 и CVE-2026-79768