Beschreibung:
Die Apache Software Foundation hat am 11.11.2026 die Version 2.4.71 des Apache HTTP Server veröffentlicht. Sie behebt drei Schwachstellen. Die schwerste ist CVE-2026-119618, eine Race Condition im HTTP/2-Modul mod_http2. Ein nicht angemeldeter Angreifer kann damit aus der Ferne den Heap beschädigen und im schlimmsten Fall Code auf dem Server ausführen. Die Lücke liegt in der Funktion assign_headers() (modules/http2/h2_request.c). Dort wird ein gemeinsam genutzter Speicherbereich bei parallelen HTTP/2-Anfragen nicht korrekt synchronisiert (CWE-362).
Betroffen sind nur Server, die HTTP/2 anbieten. Das Modul mod_http2 ist standardmäßig nicht aktiviert.
Gemeldet wurde die Schwachstelle unabhängig voneinander von Anthropics OSS Scanner (26.10.2026) und von Anthony Weems und Simon Scannell von Google Cloud Vulnerability Research (03.11.2026).
Die wichtigste Schwachstelle:
-
CVE-2026-119618: Race Condition / Remote Code Execution in mod_http2.
Apache stuft sie als kritisch ein. Red Hat bewertet sie mit CVSS 9,8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), ein offizieller NVD-Score steht noch aus. Die Lücke ist ohne Anmeldung und ohne Benutzerinteraktion ausnutzbar. Voraussetzung ist, dass HTTP/2 (h2 oder h2c) aktiviert ist.
Weitere Schwachstellen
- CVE-2026-106023: NULL-Pointer-Dereferenz in mod_md, die den Child-Prozess abstürzen lässt (Denial of Service), Schweregrad „wichtig“. Betroffen sind die Versionen 2.4.30 bis 2.4.70.
- CVE-2026-109163: Ein-Byte-Überschreibung auf dem Stack in mod_vhost_alias, Schweregrad „niedrig“. Betroffen sind die Versionen 2.4.69 und 2.4.70.
Betroffene Systeme:
- Apache HTTP Server 2.4.55 bis 2.4.70, wenn HTTP/2 aktiviert ist
- Eigenständiges mod_h2 (GitHub) 2.0.8 bis 2.0.42
- Nicht betroffen sind Server, die nur HTTP/1.1 ausliefern, sowie Versionen vor 2.4.55 (z. B. RHEL 8 und älter).
Behobene Version:
- Apache HTTP Server 2.4.71 und spätere Releases
- Distributionen liefern den Fix oft als Backport, ohne die Versionsnummer anzuheben. Beispiele: RHEL 9 mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981), RHEL 10 mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978), Debian trixie apache2 2.4.71-1~deb13u1 (DSA-6620-1). Maßgeblich ist der Changelog-Eintrag zu CVE-2026-119618.
Empfohlene Maßnahmen:
Wir empfehlen, zeitnah auf Apache HTTP Server 2.4.71 zu aktualisieren oder das passende Sicherheitsupdate der jeweiligen Distribution einzuspielen. Das gilt vor allem für Server, die aus dem Internet erreichbar sind. Dafür sollte zunächst erfasst werden, wo überall Apache im Einsatz ist, also auch in Container-Images, Appliances und Reverse-Proxys. Auf diesen Systemen sind die Version und die Protocols-Direktive zu prüfen.
Ist ein Update nicht sofort möglich, sollte HTTP/2 vorübergehend deaktiviert werden. Dazu werden h2 und h2c aus allen Protocols-Direktiven entfernt, auch in VirtualHost-Blöcken (z. B. Protocols http/1.1), und der Dienst wird neu geladen. Außerdem sollten Logs und Systeme auf Auffälligkeiten untersucht werden. Dazu zählen Abstürze von Apache-Prozessen, ungewöhnliche Child-Prozesse, ausgeführte Befehle, neue Dateien im Webroot und unerwartete ausgehende Verbindungen. Grundsätzlich empfehlen wir, Sicherheitsupdates automatisiert einzuspielen und Systeme regelmäßig neu zu starten, damit aktualisierte Bibliotheken und Module tatsächlich geladen werden.
Einschätzung der Bedrohung:
Zum Zeitpunkt der Veröffentlichung gibt es keine Hinweise auf aktive Ausnutzung. Die Lücke steht nicht im CISA-KEV-Katalog.
Ob sich die Lücke in der Praxis ausnutzen lässt, ist umstritten. Ein öffentliches Reproduktions-Lab auf GitHub zeigt die Heap-Korruption auf 2.4.70, ist aber kein einsatzfähiger RCE-Exploit. Der Sicherheitsforscher Kevin Beaumont hat den Fehler ebenfalls nachgestellt. Er hält eine Ausnutzung aber für sehr schwierig, solange die Standard-Schutzmechanismen von Linux wie ASLR aktiv sind. Red Hat gibt dagegen an, dass Forschende einen zuverlässigen Exploit gegen Standardkonfigurationen gezeigt haben. Unabhängig bestätigt ist das nicht. RHEL 9 und 10 stuft Red Hat als „Important“ ein, weil die mod_http2-Builds dort jedem Stream einen eigenen Allocator geben und das die Ausnutzung zusätzlich erschwert.
Laut Wiz haben 64 % der Cloud-Umgebungen mindestens eine Ressource mit betroffener Apache-Version, 51 % eine aus dem Internet erreichbare. Diese Zahlen beruhen nur auf der Version, nicht darauf, ob HTTP/2 aktiv ist. Sie sind daher eine Obergrenze.
Bereits im Mai hatte Apache mit Version 2.4.67 kritische Lücken geschlossen, darunter mit CVE-2026-23918 ebenfalls eine im HTTP/2-Modul. Das HTTP/2-Modul bleibt damit ein wiederkehrender Angriffspunkt.
Gesamtbewertung: hohes Risiko für Webserver und Reverse-Proxys mit aktiviertem HTTP/2, die aus dem Internet erreichbar sind. Die Ausnutzung gilt derzeit als schwierig. Apache ist aber sehr weit verbreitet und die Lücke ist ohne Anmeldung erreichbar, deshalb sollte zeitnah gepatcht werden.
Weiterführende Links:
-1.png?width=238&height=69&name=acp_itforinnovators_logo_RGB%20(1)-1.png "Logo | ACP - IT for innovators."){kind=logo}
