Apache schließt Lücke, über die Angreifer HTTP/2-Server ohne Login übernehmen können

Das Apache-HTTP-Server-Projekt hat am 11. November Version 2.4.71 veröffentlicht. Sie schließt einen kritischen Fehler in mod_http2, dem Modul für HTTP/2-Verbindungen. Laut dem Sicherheitshinweis von Apache kann die Lücke CVE-2026-119618 zur Ausführung von Code aus der Ferne führen und betrifft alle Versionen von 2.4.55 bis 2.4.70. Ein Angreifer, der den Server erreicht, braucht weder Passwort noch Konto.

Was in mod_http2 falsch läuft

Mit HTTP/2 schickt ein Browser viele Anfragen gleichzeitig über eine Verbindung, und mod_http2 verarbeitet sie in mehreren Threads. Red Hat erklärt, dass es sich um eine Race Condition in der Funktion assign_headers() handelt: Ein Worker-Thread über einen gemeinsamen Speicherallokator ohne Sperre in Speicher schreiben kann, der dem Verbindungs-Thread gehört. Dadurch wird der Speicher des Servers beschädigt, und ein Angreifer kann das nutzen, um eigene Befehle auszuführen und den Serverprozess zu übernehmen.

Red Hat schreibt, öffentliche Forschung habe „einen zuverlässigen Exploit“ gegen einen Server in Standardkonfiguration mit aktivem mod_http2 gezeigt, nennt diese Forschung aber nicht. The Hacker News berichtet, die Sicherheitsfirma Wiz habe am selben Tag erklärt, es gebe keinen Exploit und keine bekannten Angriffe. So oder so sind die Details nun öffentlich, und Admins sollten nicht warten, bis ein funktionierender Exploit auftaucht.

Gemeldet wurde der Fehler am 26. Oktober von Anthropics OSS Scanner, einem kostenlosen Dienst, der Open-Source-Projekte mit den KI-Modellen des Unternehmens prüft. Anthony Weems und Simon Scannell von Google Cloud Vulnerability Research fanden ihn unabhängig davon und meldeten ihn am 3. November. Version 2.4.71 behebt außerdem einen Absturz in mod_md (Stufe wichtig) und das Überschreiben eines Bytes auf dem Stack in mod_vhost_alias (Stufe niedrig).

Wer schon einen Fix hat

Linux-Distributionen bauen Apache selbst und nummerieren ihre Pakete eigenständig, das richtige Update hängt also vom System ab. Stand 12. November:

Eigenständige Builds des Moduls, die auf GitHub als mod_h2 erschienen, sind von 2.0.8 bis 2.0.42 betroffen. Das Repository ist seit Juni archiviert, eine reparierte Version gibt es dort nicht. Im Mai hatte Apache in 2.4.67 einen anderen HTTP/2-Fehler, CVE-2026-23918, behoben. Server, die damals aktualisiert wurden, sind für die neue Lücke trotzdem offen. Im vergangenen Monat schloss NGINX ähnliche Lücken, die ebenfalls Codeausführung ohne Anmeldung erlaubten.

So prüfen Sie Ihren Server

• apachectl -v zeigt die Version, apachectl -M | grep http2 zeigt, ob mod_http2 geladen ist.
• Suchen Sie in der Konfiguration nach der Protocols-Direktive, global und in jedem virtuellen Host. Steht dort h2 oder h2c, spricht der Server HTTP/2.
• Spielen Sie das Update Ihrer Distribution ein, sobald es erscheint, oder wechseln Sie auf 2.4.71, wenn Sie Apache selbst bauen.
• Wenn ein Update noch nicht geht, rät Wiz, nur Protocols http/1.1 stehen zu lassen. Websites laden dann etwas langsamer, aber der fehlerhafte Code läuft nicht.