Administratoren von Apache HTTP Server haben eine Korrektur für eine Schwachstelle, die entfernten Angreifern ohne Anmeldung die Ausführung von Befehlen ermöglichen könnte, wenn HTTP/2 aktiviert ist. Version 2.4.71, veröffentlicht am 11. November, behebt CVE-2026-119618. Laut Red-Hat-Bewertung könnten Angreifer durch die Ausnutzung die Kontrolle über den Serverprozess erlangen, Daten einsehen oder verändern und den Dienst stören.
Die betroffenen Apache-Versionen reichen von 2.4.55 bis 2.4.70, berichtete The Hacker News am 12. November. Voraussetzung für die Gefährdung ist HTTP/2: Ein Server, der ausschließlich HTTP/1.1-Verkehr verarbeitet, ist nicht betroffen. Organisationen, die Linux-Distributionspakete einsetzen, müssen die Versionsinformationen ihres Anbieters prüfen, da diese Pakete eigene Versionsnummern und Korrekturen führen.
Red Hat stuft die Schwachstelle mit einem CVSS-Schweregrad von 9,8 von 10 ein und bewertet sie insgesamt als kritisch, für bestimmte Produkte aber niedriger. Die Bewertung vom 11. November besagt, dass öffentliche Forschungsergebnisse eine zuverlässige Ausnutzung eines Servers mit der Standardkonfiguration und aktiviertem mod_http2 belegt hätten. The Hacker News gab außerdem eine abweichende Aussage des Sicherheitsunternehmens Wiz vom selben Tag wieder: Es sei kein Exploit verfügbar gewesen, und es seien keine Ausnutzungen in freier Wildbahn gemeldet worden.
Konfiguration bestimmt die Gefährdung
Administratoren können über die Direktive Protocols in Apache feststellen, ob HTTP/2 aktiv ist. Der Wert h2 aktiviert das Protokoll über TLS, das die Verbindung verschlüsselt, h2c dagegen über unverschlüsseltes TCP. Die Einstellungen können für den gesamten Server oder für einzelne virtuelle Hosts gelten, also für die Konfigurationen, mit denen separate Websites bereitgestellt werden. Daher sind beide Ebenen zu prüfen.
HTTP/2 überträgt mehrere Anfragen gleichzeitig über eine einzige Verbindung. In Apache verteilt mod_http2 diese Arbeit auf Threads, also auf getrennte Ausführungspfade innerhalb des Serverprozesses. Red Hat beschreibt einen Fehler bei der Speicherverwaltung, bei dem ein Request-Worker in Speicher schreibt, der dem Thread gehört, der die Verbindung verwaltet.
Die Threads teilen sich einen sperrenfreien Allocator, also einen Mechanismus, der Speicher zuweist, ohne den Zugriff über Sperren zu koordinieren. Die fehlerhafte Interaktion beschädigt den internen Speicher und kann einem Angreifer mit Netzwerkzugang zum Server die Ausführung von Befehlen ermöglichen, ohne Zugangsdaten oder Benutzerinteraktion.
Die Paketierung verändert die Schwierigkeit dieses Angriffs. Red Hat Enterprise Linux (RHEL) 9 und 10 weisen jedem HTTP/2-Stream einen eigenen Allocator zu, was die Ausnutzung laut Red Hat deutlich aufwendiger macht. Für diese Versionen gilt die Einstufung „wichtig“ statt „kritisch“. Der verwundbare Code wurde in mod_http2 2.0.8 eingeführt. Ältere Modulversionen sowie RHEL 8 und ältere Versionen sind nicht betroffen.
Eigenständige mod_h2-Builds, die über GitHub verteilt werden, sind von 2.0.8 bis 2.0.42 verwundbar. Laut dem Bericht vom 12. November endete die Liste der Veröffentlichungen bei 2.0.42, eine korrigierte eigenständige Version gab es also nicht. Das Repository wurde am 9. Juni archiviert und ist seitdem schreibgeschützt.
The Hacker News datiert eine Meldung des Fehlers durch den OSS Scanner von Anthropic auf den 26. Oktober. Dieser kostenlose Dienst durchsucht Open-Source-Projekte mithilfe der KI-Modelle von Anthropic. Außerdem heißt es, dass Anthony Weems und Simon Scannell von Google Cloud Vulnerability Research das Problem „letzte Woche“ gemeldet hätten. Red Hat erkennt beide Forscher an.
Die Korrektur für den eingesetzten Build wählen
Bei Installationen mit den eigenen Veröffentlichungen von Apache sollten Administratoren Version 2.4.71 installieren. Diese korrigierte Version wird laut The Hacker News in der Sicherheitsmitteilung von Apache genannt. Sie behebt zudem einen Absturz in mod_md mit der Einstufung „wichtig“ sowie ein Überschreiben von einem Byte im Stack-Speicher in mod_vhost_alias mit der Einstufung „niedrig“.
Eine frühere HTTP/2-Korrektur reicht nicht aus: Apache 2.4.67, veröffentlicht am 4. Mai, adressierte CVE-2026-23918. Diese Version sowie die folgenden bis einschließlich 2.4.70 liegen jedoch weiterhin im Bereich der neuen Schwachstelle.
Red Hat stellte am 11. November Updates bereit. Die Pakete und Sicherheitsmitteilungen, die im Bericht von The Hacker News aufgeführt werden, sind:
- RHEL 9:
mod_http2-2.0.26-7.el9_9.1, abgedeckt durch RHSA-2026:98981. - RHEL 10:
mod_http2-2.0.29-5.el10_3.1, abgedeckt durch RHSA-2026:98978. - RHEL 9.4 Update Services for SAP Solutions: eine Korrektur unter RHSA-2026:98968.
- RHEL 9.6, 9.8, 10.0 und 10.2 Extended Update Support: Korrekturen unter RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 bzw. RHSA-2026:98979. Administratoren sollten das Paket beziehen, das in der Sicherheitsmitteilung ihrer Version angegeben ist.
Der Bericht führt Red Hat JBoss Core Services und Red Hat Hardened Images als betroffen auf, ohne dass dafür Korrekturen genannt werden. Red Hat warnt außerdem, dass Produkte, die auf betroffenen Komponenten aufbauen, einschließlich containerbasierter Angebote, gefährdet sein können, ohne in der eigenen Tabelle betroffener Produkte separat aufzutauchen.
Anderswo war die Verfügbarkeit am 12. November uneinheitlich. The Hacker News verweist auf den Sicherheits-Tracker von Debian, nach dem apache2 2.4.71-1 in der Version unstable, auch sid genannt, behoben ist. Debian bookworm, trixie und forky wurden als verwundbar markiert, ohne dass Korrekturen aufgeführt waren. Der Tracker von Amazon zeigte für Amazon Linux 2 (Core), Amazon Linux 2023 und Amazon Linux 2027 Preview ausstehende Korrekturen. Für diese CVE gab es zum Zeitpunkt der Prüfung durch die Redaktion keine Seite im Ubuntu-Tracker.
Bei Red-Hat-Systemen kann ein reiner Versionsvergleich mit dem Upstream zu einer irreführenden Meldung führen. Der Hersteller übernimmt Korrekturen in bestehende Paketversionen, um die Kompatibilität zu wahren. Ein Scanner, der nur die Versionsnummer prüft, kann ein korrigiertes Paket daher trotzdem als gefährdet melden. Red Hat empfiehlt einen Scanner, der über das Programm Vulnerability Scanner Certification zertifiziert ist.
Administratoren, die auf ein Update warten, können HTTP/2 deaktivieren. Laut The Hacker News enthält die Mitteilung von Apache keine Umgehungslösung. Wiz empfiehlt jedoch, h2 und h2c aus den betreffenden Protocols-Einstellungen zu entfernen, sodass Protocols http/1.1 übrig bleibt. Dieselbe Konfigurationsänderung gilt für betroffene eigenständige mod_h2-Installationen.
