von Wolfscastle, Team
CVE-2026-119618 in mod_http2 kann zu Codeausführung führen. Apache 2.4.71 behebt sie. Wer betroffen ist, welche Pakete es gibt und wie Sie HTTP/2 abschalten.
Im Apache-Webserver steckt eine kritische Lücke im HTTP/2-Modul. CVE-2026-119618 kann laut dem Apache-Projekt zu Remote Code Execution führen, ein Angreifer könnte also aus dem Netz eigenen Code auf dem Server ausführen. Die Version 2.4.71 vom 11. November 2026 behebt den Fehler. Debian, Ubuntu und Red Hat liefern bereits Pakete aus. Angriffe sind bisher nicht bekannt. Stand dieses Beitrags ist der 14. November 2026.
Der Fehler sitzt in der Funktion assign_headers() des Moduls mod_http2. Laut Apache sind die Versionen 2.4.55 bis 2.4.70 betroffen, dazu die separat auf GitHub veröffentlichten mod_h2-Versionen 2.0.8 bis 2.0.42. Red Hat beschreibt die Ursache genauer. Ein Worker-Thread kann Speicher verändern, der einem anderen Thread gehört, und so die Speicherverwaltung des Servers beschädigen. Eine Anmeldung braucht der Angreifer dafür nicht.
Verwundbar ist ein Server laut Red Hat nur, wenn drei Dinge zusammenkommen. mod_http2 ist geladen, in der Direktive Protocols steht h2 oder h2c, und der Server ist aus dem Netz erreichbar. Reine HTTP/1.1-Server sind nicht betroffen. Laut heise online ist das Modul standardmäßig nicht aktiv. Wer HTTP/2 für kürzere Ladezeiten selbst eingeschaltet hat, ist betroffen. Prüfen Sie deshalb Ihre Konfiguration, statt sich auf den Standard zu verlassen.
Gefunden haben die Lücke der OSS-Scanner von Anthropic und zwei Forscher von Google Cloud Vulnerability Research. Die Meldungen gingen am 26. Oktober und am 3. November beim Apache-Projekt ein.
Apache stuft die Lücke als kritisch ein. Bei der CVSS-Bewertung gehen die Angaben auseinander. Red Hat nennt 9.8, der Eintrag bei cve.org 8.1. Der Unterschied liegt in der Angriffskomplexität, die Red Hat als niedrig und cve.org als hoch einstuft. Für RHEL 9 und 10 senkt Red Hat die Einstufung auf „Important“. Dort nutzt jeder HTTP/2-Stream einen eigenen Allokator, das erschwert die Ausnutzung deutlich.
Auch heise berichtet, dass Fachleute einen funktionierenden Exploit für schwierig halten. Der Sicherheitsforscher Kevin Beaumont verweist auf Schutzmechanismen wie ASLR, die Speicheradressen zufällig verteilen. Ein öffentlicher Exploit ist nicht bekannt. Bei einer Lücke ohne Anmeldung über das Netz sollten Sie trotzdem nicht auf den nächsten Wartungstermin warten.
Für Ihren Server zählt die Paketversion Ihrer Distribution, nicht die Upstream-Nummer:
Bei Ubuntu 22.04 lohnt ein zweiter Blick. Die dortige Apache-Version 2.4.52 liegt eigentlich vor dem betroffenen Bereich. Ubuntu hat aber neuere Versionen des HTTP/2-Moduls zurückportiert, deshalb gibt es auch hier ein Update. Die Versionsnummer allein sagt also nicht, ob Ihr Server betroffen ist.
Das Update bringt zwei weitere Fixes mit. CVE-2026-106023 (Einstufung „wichtig“) kann über mod_md einen Apache-Prozess abstürzen lassen, CVE-2026-109163 (Einstufung „niedrig“) betrifft mod_vhost_alias.
Können Sie nicht sofort aktualisieren, empfehlen Red Hat und heise, HTTP/2 vorübergehend zu deaktivieren. Dazu entfernen Sie h2 und h2c aus jeder Protocols-Direktive, sodass nur noch diese Zeile übrig bleibt:
Protocols http/1.1
Danach starten Sie Apache neu. Red Hat nennt für seine Systeme diese Befehle, um Konfiguration und Ergebnis zu prüfen:
grep -r 'Protocols' /etc/httpd/conf/ /etc/httpd/conf.d/ 2>/dev/null
systemctl restart httpd
curl -kI --http2 https://localhost
Taucht in der ersten Ausgabe h2 oder h2c auf, ist HTTP/2 noch aktiv. Nach der Änderung sollte curl mit HTTP/1.1 200 OK antworten statt mit HTTP/2 200. Die Pfade gelten für RHEL und verwandte Systeme. Unter Debian und Ubuntu liegt die Apache-Konfiguration an anderer Stelle, das Prinzip bleibt gleich.
Red Hat weist auf die Nebenwirkungen hin. Browser fallen auf HTTP/1.1 zurück, Ladezeiten und Bandbreite steigen etwas, die Seiten bleiben aber erreichbar. Nach dem Paket-Update können Sie HTTP/2 wieder einschalten.
Läuft Ihr Shop hinter Apache mit HTTP/2, braucht der Server das Update, egal ob dort Shopware oder eine eigene Anwendung läuft. Bei unseren Managed Servern spielen wir Sicherheitsupdates für den Webserver ein und prüfen, ob HTTP/2 aktiv ist.
Wenn Sie nicht wissen, welcher Webserver auf Ihrem Shop-Server läuft, schreiben Sie uns.
Die EU-Kommission hat am 11. November den Digital Fairness Act vorgelegt. Er zielt auf UVP-Streichpreise, versteckte Kosten und Dark Patterns. Was Shops wissen sollten.
WeiterlesenVom 6. bis 9. November wies Outlook.com Mails von Domains ohne DMARC-Eintrag ab. Die Störung ist vorbei, die Lücke bleibt. So prüfen Sie Ihre Domain.
WeiterlesenWir sind bereit, Ihre digitalen Herausforderungen anzunehmen - ob E-Commerce, Web-App oder komplexes Ökosystem.
Wolfscastle arbeitet vollständig remote, aber immer auf Augenhöhe und mit direkter Kommunikation - ohne Umwege und zwischengeschaltete Projektmanager.