syslog.eu
CS EN DE FR
[CRIT · HEUTE BEHEBEN]/Meldungen·

Apache HTTP Server: kritische HTTP/2-Lücke kann zur Codeausführung führen – auf 2.4.71 aktualisieren

Apache HTTP Server 2.4.71, veröffentlicht am 11. November, behebt CVE-2026-119618, die das Projekt als kritisch einstuft. In den Versionen 2.4.55 bis 2.4.70 kann eine Race Condition im HTTP/2-Modul (mod_http2) Speicher beschädigen und zur Ausführung von Code aus der Ferne führen. Das Cloud-Sicherheitsunternehmen Wiz sagt, für einen Angriff sei keine Anmeldung nötig und zum Zeitpunkt der Wiz-Veröffentlichung seien weder ein Exploit noch Angriffe bekannt gewesen.

Betroffen apache-httpd

Betrifft Sie das?

  • Betroffen: Server mit Apache httpd 2.4.55 bis 2.4.70, auf denen HTTP/2 aktiviert ist (Protokoll h2 oder h2c), sowie das eigenständige mod_h2 2.0.8 bis 2.0.42 von GitHub.
  • Nicht betroffen, wenn: Ihre Websites auf nginx, IIS oder einem anderen Webserver laufen, Apache direkt vom Projekt älter als 2.4.55 ist oder HTTP/2 abgeschaltet ist. Bei Paketen Ihrer Distribution zählt deren Sicherheitshinweis, nicht die Versionsnummer. Betreibt ein Hoster den Server, kümmert er sich um das Update; nachfragen sollten Sie trotzdem.

Was zu tun ist

  • Finden Sie jede Apache-Instanz, die Sie betreiben, auch in Containern. apachectl -v (apache2ctl unter Debian und Ubuntu) zeigt die Version; apachectl -M listet http2_module, wenn HTTP/2 geladen ist; durchsuchen Sie dann die Konfiguration nach Protocols-Zeilen mit h2 oder h2c.
  • Installieren Sie 2.4.71 oder neuer. Apache aus Ihrer Linux-Distribution: Installieren Sie stattdessen deren Sicherheitsupdate, das eine ältere Versionsnummer behalten kann; suchen Sie im Hinweis der Distribution nach CVE-2026-119618.
  • Eigenständiges mod_h2 von GitHub: auf eine Version neuer als 2.0.42 wechseln.
  • Heute kein Update möglich? Die Übergangslösung von Wiz: Entfernen Sie h2 und h2c aus jeder Protocols-Zeile (Hauptkonfiguration, Konfigurationsdateien der Distribution, jeder VirtualHost), sodass nur Protocols http/1.1 bleibt, und starten Sie Apache neu.
  • Schon angegriffen? Es sind keine Angriffe gemeldet, daher gibt es noch keine Spuren, nach denen Sie suchen könnten.
  • Betreibt ein Hoster Ihren Apache, lassen Sie sich bestätigen, dass der Fix installiert ist.

Was wir wissen – und was nicht

  • Das Apache-Projekt stuft die Lücke als kritisch ein und nennt zwei Finder: den OSS Scanner von Anthropic (gemeldet am 26. Oktober) und Google Cloud Vulnerability Research (3. November); laut Wiz haben beide die Lücke unabhängig voneinander entdeckt.
  • Der CVE-Eintrag nennt keinen CVSS-Wert, nur „critical“; die Schwachstelle ist CWE-362 (fehlerhafte Synchronisierung).
  • Wiz zählt betroffene Versionen in 64 % der Cloud-Umgebungen, die es sieht, und aus dem Internet erreichbare betroffene Instanzen in 51 %; die Zahl berücksichtigt die Konfiguration nicht, etwa ob HTTP/2 aktiviert ist.
  • 2.4.71 behebt auch zwei kleinere Lücken, in mod_md (important) und mod_vhost_alias (low).
  • Unbekannt: wie schwer die Race Condition in der Praxis auszulösen ist und ob funktionierende Exploits auftauchen.

Warum das wichtig ist

Apache betreibt nach wie vor sehr viele Websites kleiner Firmen, und unserer Ansicht nach wurden viele davon einmal eingerichtet und seither kaum angefasst. Da sich HTTP/2 mit einer Zeile abschalten lässt, muss ein aus dem Internet erreichbarer Server nicht auf ein Wartungsfenster warten.

Quellen

← Alle Meldungen