Представлен релиз HTTP-сервера Apache 2.4.65, в котором исправлена критическая ошибка в mod_rewrite из-за которой условия, заданные через выражение «RewriteCond», всегда возвращали значение «true», т.е. правила всегда срабатывали, независимо от проверяемых данных. Выражение «RewriteCond» является ключевым в mod_rewrite и применяется для проверки условий в большинстве ситуаций.

Проблема вызвана некорректным исправлением ошибки в прошлом выпуске и проявляется только в версии Apache httpd 2.4.64. В версии 2.4.64 для определения результата проверки было добавлено перечисление cond_return_type, которое могло принимать значения COND_RC_NOMATCH, COND_RC_MATCH и COND_RC_STATUS_SET. При этом в коде выставлялось только значение COND_RC_MATCH, вне зависимости от результата обработки регулярного выражения (проверялось только отрицательное значение с кодом ошибки, но не учитывалось нулевое значение, выдаваемое при несовпадении).

Источник: http://www.opennet.ru/opennews/art.shtml?num=63621