p PatchFirst

CVE-2026-24072

CVE-2026-24072 · Apache HTTP Server: mod_rewrite elevation of privileges via ap_expr

This page contains facts from public vulnerability sources. Check the original advisory before updating.

An escalation of privilege bug in various modules in Apache HTTP 2.4.66 and earlier allows local .htaccess authors to read files with the privileges of the httpd user. Users are recommended to upgrade to version 2.4.67, which fixes this issue.

CVSS 8.8 · High · EPSS 0.7% · Fix available

Published
Updated

Stack: system · web

Affected products and versions

  • apache httpd

    Versions
    • ≥ 0, ≤ 2.4.66: Affected (semver)

    No fix published

  • apache2 Debian:12

    Versions
    • 2.4.57-2
    • 2.4.57-3
    • 2.4.58-1
    • 2.4.59-1
    • 2.4.59-1~deb10u1
    • 2.4.59-1~deb11u1
    • 2.4.59-1~deb12u1
    • 2.4.59-2
    • 2.4.60-1
    • 2.4.61-1
    • 2.4.61-1~deb11u1
    • 2.4.61-1~deb12u1
    • 2.4.62-1
    • 2.4.62-1~deb11u1
    • 2.4.62-1~deb11u2
    • 2.4.62-1~deb12u1
    • 2.4.62-1~deb12u2
    • 2.4.62-2
    • 2.4.62-3
    • 2.4.62-4
    • 2.4.62-5
    • 2.4.62-6
    • 2.4.63-1
    • 2.4.64-1
    • 2.4.65-1
    • 2.4.65-1~deb11u1
    • 2.4.65-1~deb12u1
    • 2.4.65-2
    • 2.4.65-3
    • 2.4.66-1
    • 2.4.66-1~deb11u1
    • 2.4.66-1~deb12u1
    • 2.4.66-1~deb12u2
    • 2.4.66-1~deb13u1
    • 2.4.66-1~deb13u2
    • 2.4.66-2
    • 2.4.66-3
    • 2.4.66-4
    • 2.4.66-5
    • 2.4.66-6
    • 2.4.66-7
    • 2.4.66-8
    • 2.4.67-1~deb11u1
    • 2.4.67-1~deb11u2
    • 2.4.67-1~deb11u3
    • 2.4.67-1~deb12u1
    Affected ranges
    • ECOSYSTEM: < 2.4.67-1~deb12u2

    Update to 2.4.67-1~deb12u2

  • apache2 Debian:13

    Versions
    • 2.4.65-2
    • 2.4.65-3
    • 2.4.66-1
    • 2.4.66-1~deb11u1
    • 2.4.66-1~deb12u1
    • 2.4.66-1~deb12u2
    • 2.4.66-1~deb13u1
    • 2.4.66-1~deb13u2
    • 2.4.66-2
    • 2.4.66-3
    • 2.4.66-4
    • 2.4.66-5
    • 2.4.66-6
    • 2.4.66-7
    • 2.4.66-8
    • 2.4.67-1~deb11u1
    • 2.4.67-1~deb11u2
    • 2.4.67-1~deb11u3
    • 2.4.67-1~deb12u1
    • 2.4.67-1~deb12u2
    • 2.4.67-1~deb12u3
    • 2.4.67-1~deb13u1
    Affected ranges
    • ECOSYSTEM: < 2.4.67-1~deb13u2

    Update to 2.4.67-1~deb13u2

  • apache2 Debian:14

    Versions
    • 2.4.65-2
    • 2.4.65-3
    • 2.4.66-1
    • 2.4.66-1~deb11u1
    • 2.4.66-1~deb12u1
    • 2.4.66-1~deb12u2
    • 2.4.66-1~deb13u1
    • 2.4.66-1~deb13u2
    • 2.4.66-2
    • 2.4.66-3
    • 2.4.66-4
    • 2.4.66-5
    • 2.4.66-6
    • 2.4.66-7
    • 2.4.66-8
    • 2.4.67-1~deb11u1
    • 2.4.67-1~deb11u2
    • 2.4.67-1~deb11u3
    • 2.4.67-1~deb12u1
    • 2.4.67-1~deb12u2
    • 2.4.67-1~deb12u3
    • 2.4.67-1~deb13u1
    • 2.4.67-1~deb13u2
    • 2.4.67-1~deb13u3
    Affected ranges
    • ECOSYSTEM: < 2.4.67-1

    Update to 2.4.67-1

  • apache2 Ubuntu:Pro:14.04:LTS

    Versions
    • 2.4.6-2ubuntu2
    • 2.4.6-2ubuntu3
    • 2.4.6-2ubuntu4
    • 2.4.7-1ubuntu1
    • 2.4.7-1ubuntu2
    • 2.4.7-1ubuntu3
    • 2.4.7-1ubuntu4
    • 2.4.7-1ubuntu4.1
    • 2.4.7-1ubuntu4.4
    • 2.4.7-1ubuntu4.5
    • 2.4.7-1ubuntu4.6
    • 2.4.7-1ubuntu4.7
    • 2.4.7-1ubuntu4.8
    • 2.4.7-1ubuntu4.9
    • 2.4.7-1ubuntu4.10
    • 2.4.7-1ubuntu4.11
    • 2.4.7-1ubuntu4.13
    • 2.4.7-1ubuntu4.15
    • 2.4.7-1ubuntu4.16
    • 2.4.7-1ubuntu4.17
    • 2.4.7-1ubuntu4.18
    • 2.4.7-1ubuntu4.19
    • 2.4.7-1ubuntu4.20
    • 2.4.7-1ubuntu4.21
    • 2.4.7-1ubuntu4.22
    • 2.4.7-1ubuntu4.22+esm1
    • 2.4.7-1ubuntu4.22+esm2
    • 2.4.7-1ubuntu4.22+esm3
    • 2.4.7-1ubuntu4.22+esm4
    • 2.4.7-1ubuntu4.22+esm5
    • 2.4.7-1ubuntu4.22+esm6
    • 2.4.7-1ubuntu4.22+esm8
    • 2.4.7-1ubuntu4.22+esm9
    • 2.4.7-1ubuntu4.22+esm10
    • 2.4.7-1ubuntu4.22+esm12
    Affected ranges
    • ECOSYSTEM: < 2.4.7-1ubuntu4.22+esm13

    Update to 2.4.7-1ubuntu4.22+esm13

  • apache2 Ubuntu:Pro:16.04:LTS

    Versions
    • 2.4.12-2ubuntu2
    • 2.4.17-1ubuntu1
    • 2.4.17-2ubuntu1
    • 2.4.17-3ubuntu1
    • 2.4.18-1ubuntu1
    • 2.4.18-2ubuntu1
    • 2.4.18-2ubuntu2
    • 2.4.18-2ubuntu3
    • 2.4.18-2ubuntu3.1
    • 2.4.18-2ubuntu3.2
    • 2.4.18-2ubuntu3.3
    • 2.4.18-2ubuntu3.4
    • 2.4.18-2ubuntu3.5
    • 2.4.18-2ubuntu3.7
    • 2.4.18-2ubuntu3.8
    • 2.4.18-2ubuntu3.9
    • 2.4.18-2ubuntu3.10
    • 2.4.18-2ubuntu3.12
    • 2.4.18-2ubuntu3.13
    • 2.4.18-2ubuntu3.14
    • 2.4.18-2ubuntu3.15
    • 2.4.18-2ubuntu3.17
    • 2.4.18-2ubuntu3.17+esm1
    • 2.4.18-2ubuntu3.17+esm2
    • 2.4.18-2ubuntu3.17+esm3
    • 2.4.18-2ubuntu3.17+esm4
    • 2.4.18-2ubuntu3.17+esm5
    • 2.4.18-2ubuntu3.17+esm6
    • 2.4.18-2ubuntu3.17+esm7
    • 2.4.18-2ubuntu3.17+esm8
    • 2.4.18-2ubuntu3.17+esm9
    • 2.4.18-2ubuntu3.17+esm10
    • 2.4.18-2ubuntu3.17+esm11
    • 2.4.18-2ubuntu3.17+esm12
    • 2.4.18-2ubuntu3.17+esm13
    • 2.4.18-2ubuntu3.17+esm14
    • 2.4.18-2ubuntu3.17+esm16
    • 2.4.18-2ubuntu3.17+esm17
    Affected ranges
    • ECOSYSTEM: < 2.4.18-2ubuntu3.17+esm18

    Update to 2.4.18-2ubuntu3.17+esm18

  • apache2 Ubuntu:Pro:18.04:LTS

    Versions
    • 2.4.27-2ubuntu3
    • 2.4.29-1ubuntu1
    • 2.4.29-1ubuntu2
    • 2.4.29-1ubuntu3
    • 2.4.29-1ubuntu4
    • 2.4.29-1ubuntu4.1
    • 2.4.29-1ubuntu4.2
    • 2.4.29-1ubuntu4.3
    • 2.4.29-1ubuntu4.4
    • 2.4.29-1ubuntu4.5
    • 2.4.29-1ubuntu4.6
    • 2.4.29-1ubuntu4.7
    • 2.4.29-1ubuntu4.8
    • 2.4.29-1ubuntu4.10
    • 2.4.29-1ubuntu4.11
    • 2.4.29-1ubuntu4.12
    • 2.4.29-1ubuntu4.13
    • 2.4.29-1ubuntu4.14
    • 2.4.29-1ubuntu4.16
    • 2.4.29-1ubuntu4.17
    • 2.4.29-1ubuntu4.18
    • 2.4.29-1ubuntu4.19
    • 2.4.29-1ubuntu4.20
    • 2.4.29-1ubuntu4.21
    • 2.4.29-1ubuntu4.22
    • 2.4.29-1ubuntu4.23
    • 2.4.29-1ubuntu4.24
    • 2.4.29-1ubuntu4.25
    • 2.4.29-1ubuntu4.26
    • 2.4.29-1ubuntu4.27
    • 2.4.29-1ubuntu4.27+esm1
    • 2.4.29-1ubuntu4.27+esm2
    • 2.4.29-1ubuntu4.27+esm3
    • 2.4.29-1ubuntu4.27+esm4
    • 2.4.29-1ubuntu4.27+esm6
    • 2.4.29-1ubuntu4.27+esm7
    • 2.4.29-1ubuntu4.27+esm8
    Affected ranges
    • ECOSYSTEM: < 2.4.29-1ubuntu4.27+esm9

    Update to 2.4.29-1ubuntu4.27+esm9

  • apache2 Ubuntu:Pro:20.04:LTS

    Versions
    • 2.4.41-1ubuntu1
    • 2.4.41-4ubuntu1
    • 2.4.41-4ubuntu2
    • 2.4.41-4ubuntu3
    • 2.4.41-4ubuntu3.1
    • 2.4.41-4ubuntu3.3
    • 2.4.41-4ubuntu3.4
    • 2.4.41-4ubuntu3.5
    • 2.4.41-4ubuntu3.6
    • 2.4.41-4ubuntu3.7
    • 2.4.41-4ubuntu3.8
    • 2.4.41-4ubuntu3.9
    • 2.4.41-4ubuntu3.10
    • 2.4.41-4ubuntu3.11
    • 2.4.41-4ubuntu3.12
    • 2.4.41-4ubuntu3.13
    • 2.4.41-4ubuntu3.14
    • 2.4.41-4ubuntu3.15
    • 2.4.41-4ubuntu3.16
    • 2.4.41-4ubuntu3.17
    • 2.4.41-4ubuntu3.19
    • 2.4.41-4ubuntu3.20
    • 2.4.41-4ubuntu3.21
    • 2.4.41-4ubuntu3.23
    • 2.4.41-4ubuntu3.23+esm2
    • 2.4.41-4ubuntu3.23+esm3
    Affected ranges
    • ECOSYSTEM: < 2.4.41-4ubuntu3.23+esm4

    Update to 2.4.41-4ubuntu3.23+esm4

  • apache2 Ubuntu:22.04:LTS

    Versions
    • 2.4.48-3.1ubuntu3
    • 2.4.48-3.1ubuntu4
    • 2.4.51-2ubuntu1
    • 2.4.52-1ubuntu1
    • 2.4.52-1ubuntu2
    • 2.4.52-1ubuntu4
    • 2.4.52-1ubuntu4.1
    • 2.4.52-1ubuntu4.2
    • 2.4.52-1ubuntu4.3
    • 2.4.52-1ubuntu4.4
    • 2.4.52-1ubuntu4.5
    • 2.4.52-1ubuntu4.6
    • 2.4.52-1ubuntu4.7
    • 2.4.52-1ubuntu4.8
    • 2.4.52-1ubuntu4.9
    • 2.4.52-1ubuntu4.10
    • 2.4.52-1ubuntu4.11
    • 2.4.52-1ubuntu4.12
    • 2.4.52-1ubuntu4.13
    • 2.4.52-1ubuntu4.14
    • 2.4.52-1ubuntu4.15
    • 2.4.52-1ubuntu4.16
    • 2.4.52-1ubuntu4.18
    • 2.4.52-1ubuntu4.19
    Affected ranges
    • ECOSYSTEM: < 2.4.52-1ubuntu4.20

    Update to 2.4.52-1ubuntu4.20

  • apache2 Ubuntu:24.04:LTS

    Versions
    • 2.4.57-2ubuntu2
    • 2.4.57-2ubuntu3
    • 2.4.58-1ubuntu1
    • 2.4.58-1ubuntu2
    • 2.4.58-1ubuntu6
    • 2.4.58-1ubuntu7
    • 2.4.58-1ubuntu8
    • 2.4.58-1ubuntu8.1
    • 2.4.58-1ubuntu8.2
    • 2.4.58-1ubuntu8.3
    • 2.4.58-1ubuntu8.4
    • 2.4.58-1ubuntu8.5
    • 2.4.58-1ubuntu8.6
    • 2.4.58-1ubuntu8.7
    • 2.4.58-1ubuntu8.8
    • 2.4.58-1ubuntu8.10
    • 2.4.58-1ubuntu8.11
    Affected ranges
    • ECOSYSTEM: < 2.4.58-1ubuntu8.12

    Update to 2.4.58-1ubuntu8.12

  • apache2 Ubuntu:25.10

    Versions
    • 2.4.63-1ubuntu1
    • 2.4.63-1ubuntu3
    • 2.4.64-1ubuntu2
    • 2.4.64-1ubuntu3
    • 2.4.64-1ubuntu3.2
    • 2.4.64-1ubuntu3.3
    Affected ranges
    • ECOSYSTEM: < 2.4.64-1ubuntu3.4

    Update to 2.4.64-1ubuntu3.4

  • apache2 Ubuntu:26.04:LTS

    Versions
    • 2.4.64-1ubuntu3
    • 2.4.65-3ubuntu1
    • 2.4.66-2ubuntu1
    • 2.4.66-2ubuntu2
    Affected ranges
    • ECOSYSTEM: < 2.4.66-2ubuntu2.1

    Update to 2.4.66-2ubuntu2.1

Original sources

Check your server →