In 64 % der von Wiz untersuchten Cloud-Umgebungen steckt mindestens eine Ressource mit der neuen Apache-Sicherheitslücke.[2] Der Fehler sitzt im HTTP/2-Modul des Webservers und gilt als kritisch. Laut Wiz gibt es bisher weder einen Exploit noch Angriffe. Betreiber sollten trotzdem auf Version 2.4.71 aktualisieren.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Die Apache Software Foundation hat am 11. November die Version 2.4.71 ihres Webservers veröffentlicht. Das Update behebt CVE-2026-119618 im Modul mod_http2, das Apache als kritisch einstuft und als möglichen Weg zur Ausführung fremden Codes beschreibt.[1] Gemeldet haben den Fehler Anthropics OSS Scanner am 26. Oktober und Forscher von Google Cloud am 3. November.[1]
Das Wichtigste in Kürze
- Betroffen sind Apache HTTP Server 2.4.55 bis 2.4.70, behoben ist der Fehler in 2.4.71.
- Ursache ist eine Race Condition in mod_http2.
- Übergangsweise hilft es, HTTP/2 abzuschalten.
- Exploit und Angriffe sind laut Wiz bisher nicht bekannt.
Wie entsteht der Fehler in mod_http2?
Die Ursache ist eine Race Condition: Mehrere parallel laufende Programmteile greifen in der Funktion assign_headers() ohne saubere Abstimmung auf dieselben Daten zu.[1] Bei ungünstigem Timing wird dadurch der Heap-Speicher beschädigt. Ein Angreifer ohne Anmeldung kann das laut Wiz aus der Ferne auslösen, im Erfolgsfall läuft Fremdcode mit den Rechten des Webserver-Prozesses.[2]
Das Modul fiel 2026 mehrfach auf. Version 2.4.67 schloss im Mai CVE-2026-23918, einen möglichen Weg zur Codeausführung (Stufe wichtig), Version 2.4.69 im Oktober CVE-2026-57941 mit Speicherzugriff nach der Freigabe (Stufe mittel).[1] Die neue Lücke ist unter diesen die einzige mit der Stufe kritisch. Wie oft solche Funde ausgenutzt werden, hat VulnCheck gezählt: Von 442 Anthropic-CVEs sind es nur zwei.
Welche Server sind betroffen?
Betroffen sind Apache HTTP Server von 2.4.55 bis 2.4.70 sowie der separat von GitHub bezogene mod_h2 von 2.0.8 bis 2.0.42.[1] Angriffsfläche ist der HTTP/2-Betrieb. Wiz zählt in 51 % der Cloud-Umgebungen öffentlich erreichbare Instanzen, ob HTTP/2 dort aktiv ist, prüft die Zahl nicht.[2]
Der kritischste Server ist der, den niemand mehr anfasst. Eine Zeile Konfiguration nimmt ihm bis zum Update die Angriffsfläche.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
Zuerst zeigt apachectl -v die Version, und apachectl -M listet die geladenen Module. Steht mod_http2 darin und liegt die Version zwischen 2.4.55 und 2.4.70, besteht Handlungsbedarf. Linux-Distributionen übernehmen Korrekturen oft in eigene Pakete, ohne die Versionsnummer zu erhöhen. Dort entscheidet der Changelog des Pakets. Wie lange das dauern kann, zeigte zuletzt ein kritisches Linux-Update bei Ubuntu, das nach 19 Tagen noch im Test steckte.
Ist ein Update nicht sofort möglich, nennt Wiz als Übergang, HTTP/2 abzuschalten: In der Konfiguration bleibt nur Protocols http/1.1 stehen, h2 und h2c entfallen.[2] Mieter von Webspace können nicht selbst patchen und fragen den Hoster nach dem Stand, bei der Anbieterwahl hilft der WordPress-Hosting-Vergleich.
Nach Artikel 32 DSGVO gilt für technische Maßnahmen der Stand der Technik. Eine bekannte kritische Lücke lange offen zu lassen, lässt sich damit kaum vereinbaren. Sinnvoll ist heute ein Inventar aller Apache-Instanzen, auch in Container-Images.
Quellen
2 Quellen anzeigenQuellen ausblenden
- Apache Software FoundationApache HTTP Server 2.4 vulnerabilities (Abschnitt 2.4.71)
- WizCritical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know
Mehr Newshunger?
- Ubuntu-Update für kritische Linux-Sicherheitslücke steckt nach 19 Tagen noch im Test
- Kritische Brotli-Sicherheitslücke: WordPress-Websites über Pingbacks angreifbar
- VulnCheck: Nur 2 von 442 Anthropic-CVEs werden ausgenutzt
- Kritische Linux-Sicherheitslücke CVE-2026-98432: Server mit Go-Programmen sind standardmäßig angreifbar
- Kritische Sicherheitslücke in FortiManager und FortiAnalyzer
- Kritische GitLab-Sicherheitslücke wird ausgenutzt: US-Behörden müssen bis Sonntag patchen und Spuren sichern
