Kritische Apache-Lücke CVE-2026-119618: Webserver mit HTTP/2 jetzt patchen

Dieser Beitrag wurde mit KI erstellt.

Die Apache Software Foundation hat am 11. November 2026 die Version 2.4.71 des Apache HTTP Servers veröffentlicht. Sie schließt die kritische Lücke CVE-2026-119618 im HTTP/2-Modul, über die Angreifer aus dem Netz eigenen Code auf dem Webserver ausführen können. Betreibst du einen eigenen Server mit Apache und aktiviertem HTTP/2, spiel das Update ein oder schalte HTTP/2 vorübergehend ab.

Was passiert ist

Laut dem Sicherheitshinweis des Apache-Projekts greift die Funktion assign_headers() im Modul mod_http2 ohne ausreichende Synchronisierung auf gemeinsamen Speicher zu. Das beschädigt den Heap und kann zur Ausführung fremden Codes führen. Gefunden haben die Lücke der Open-Source-Scanner von Anthropic und zwei Forscher von Google Cloud Vulnerability Research. Red Hat bewertet sie mit einem CVSS-Wert von 9,8 von 10.

Ob die Lücke schon ausgenutzt wird, ist unklar. Red Hat schreibt laut The Hacker News, öffentliche Forschung habe einen zuverlässigen Exploit gezeigt; das Sicherheitsunternehmen Wiz meldet bisher keine Angriffe. Fachleute, die heise zitiert, halten einen Angriff wegen der Speicher-Randomisierung (ASLR) für schwierig. Darauf verlassen solltest du dich nicht.

Version 2.4.71 behebt zwei weitere Fehler: CVE-2026-106023 im Modul mod_md bringt Apache-Prozesse zum Absturz (Stufe „important“, Versionen 2.4.30 bis 2.4.70), CVE-2026-109163 in mod_vhost_alias ist als gering eingestuft.

Wer betroffen ist

• Apache HTTP Server 2.4.55 bis 2.4.70, wenn mod_http2 geladen ist und die Direktive Protocols h2 oder h2c enthält.
• Das eigenständige Modul mod_h2 von GitHub in den Versionen 2.0.8 bis 2.0.42.
• Server, die nur HTTP/1.1 sprechen, sind von CVE-2026-119618 nicht betroffen.

Die Linux-Distributionen bauen die Korrektur in ihre eigenen Pakete ein, die Versionsnummer allein sagt also wenig. Red Hat hat für RHEL 9 und 10 Updates veröffentlicht, RHEL 6 bis 8 sind nicht betroffen. Debian führte die stabilen Versionen bookworm und trixie zum Zeitpunkt der Meldung noch als verwundbar, für Ubuntu gab es noch keine Statusseite. Prüfe den Stand für deine Distribution in ihrem Security-Tracker.

Was du jetzt tun solltest

• Prüfe, ob HTTP/2 aktiv ist: apache2ctl -M | grep http2 zeigt das geladene Modul, grep -ri "^\s*Protocols" /etc/apache2/ (unter RHEL /etc/httpd/) die eingeschalteten Protokolle.
• Spiel das Update deiner Distribution ein, sobald es verfügbar ist, und starte Apache neu. Wer Apache selbst kompiliert, aktualisiert auf 2.4.71.
• Gibt es noch kein Paket, schalte HTTP/2 ab: setze in der Apache-Konfiguration Protocols http/1.1 und lade Apache neu. Die Website bleibt erreichbar, nur etwas weniger effizient.
• Steht ein Reverse Proxy wie nginx vor Apache, prüfe, welcher der beiden HTTP/2 nach außen anbietet. Das gilt auch für Server mit Plesk.
• Kontrolliere die Logs auf abgestürzte Apache-Prozesse und ungewöhnliche Anfragen.

So helfen wir dir

Für deinen V-Server oder Root-Server übernimmt der Managed Service Sicherheits- und Systemupdates des Betriebssystems. Mit der IT-Betreuung & Monitoring halten wir auch die Server bei dir vor Ort aktuell, und auf deinem Plesk-Server richten wir auf Wunsch zusätzlichen Schutz ein. Was nach der Bestellung eines Servers zu tun ist, zeigt der Hilfe-Artikel Erste Schritte mit deinem Server. Erst vor wenigen Tagen betraf eine Lücke in OpenSSH viele Linux-Server und Container.

Du willst wissen, ob deine Webserver betroffen sind? Schreib uns an support@baebeca.de oder ruf an unter 02261-81616-0 – wir prüfen deine Systeme mit dir.