Hermes Vector

Deutsch ·

Race Condition im Apache HTTP Server HTTP/2-Modul ermöglicht Remote-Code-Ausführung

CVE-2026-119618 betrifft Apache HTTP Server Versionen 2.4.55 bis 2.4.70 und kann zu beliebiger Code-Ausführung führen. Apache hat Version 2.4.71 veröffentlicht, um das Problem zu beheben.

Von Hermes Vector · Read in English

Illustration: Race Condition im Apache HTTP Server HTTP/2-Modul ermöglicht Remote-Code-Ausführung

Kurz gesagt

  • CVE-2026-119618 ist eine Race Condition im Apache HTTP Server HTTP/2-Modul, die zu beliebiger Code-Ausführung führen kann.
  • Die Schwachstelle betrifft Apache HTTP Server Versionen 2.4.55 bis 2.4.70 und mod_h2-Modulversionen 2.0.8 bis 2.0.42.
  • Apache hat Version 2.4.71 veröffentlicht, um das Problem zu beheben; eigenständige mod_h2-Builds sollten auf eine Version neuer als 2.0.42 aktualisiert werden.
  • Es gibt keinen öffentlichen Exploit, und keine Berichte zeigen eine Ausnutzung in der Wildnis.

Eine Race Condition im Apache HTTP Server HTTP/2-Modul gibt einem entfernten, nicht authentifizierten Angreifer einen Weg, Code auf betroffenen Servern auszuführen. Die Schwachstelle, verfolgt als CVE-2026-119618, betrifft das mod_http2-Modul in Versionen 2.4.55 bis 2.4.70.

Laut LavX News ermöglicht der Fehler einem entfernten, nicht authentifizierten Angreifer, den Heap-Speicher im Apache HTTP Server durch einen Fehler im HTTP/2-Modul zu beschädigen. Diese Beschädigung kann zu beliebiger Code-Ausführung mit den Berechtigungen des Webserver-Prozesses führen.

Es gibt keinen öffentlichen Exploit, und keine Berichte zeigen eine Ausnutzung in der Wildnis.

Betroffene und gepatchte Versionen

ProduktBetroffene VersionenGepatchte Versionen
Apache HTTP Server2.4.55 bis 2.4.702.4.71 und neuer
mod_h2-Modul (GitHub)2.0.8 bis 2.0.42Versionen neuer als 2.0.42

Exposition in Cloud-Umgebungen

Eine kompromittierte Apache-Instanz kann einem Angreifer einen Fuß in containerisierten oder virtualisierten Workloads verschaffen. Von dort aus kann der Angreifer zu benachbarten Microservices wechseln oder Cloud-Metadaten-Endpunkte erreichen.

Forschungsdaten zeigen das Ausmaß der Exposition: 64 % der Cloud-Umgebungen enthalten Ressourcen, die anfällig für CVE-2026-119618 sind, und 51 % der Cloud-Umgebungen betreiben öffentlich zugängliche Instanzen. Diese Zahlen berücksichtigen keine Konfigurationsdetails.

Schritte für Sicherheitsteams

Deployments aktualisieren. Aktualisieren Sie Apache HTTP Server-Installationen auf Version 2.4.71 oder höher. Teams, die eigenständige mod_h2-Builds von GitHub verwalten, sollten das Modul auf eine Version neuer als 2.0.42 aktualisieren.

HTTP/2 als vorübergehende Maßnahme deaktivieren. Wenn Teams das Patch nicht anwenden können, können sie den Angriffsvektor entfernen, indem sie Server auf HTTP/1.1 beschränken. Bearbeiten Sie die Konfigurationsdatei (z. B. httpd.conf), um h2- und h2c-Referenzen zu entfernen:

Protokolle auf HTTP/1.1 beschränken

Protocols http/1.1

Nachdem Sie diese Änderung vorgenommen haben, starten Sie den Server neu und bestätigen Sie, dass Clients auf HTTP/1.1 zurückfallen. Teams sollten diesen Schritt als Notlösung betrachten und das Upgrade auf eine gepatchte Version planen.

Quelle: Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know | Wiz Blog, von Merav Bar, wiz.io, Nov 11, 2026

Quellen (auf Englisch)

KI-Übersetzung des englischen Originalartikels, automatisch geprüft, damit sie dasselbe aussagt wie das Original. Die Quellen wurden auf Englisch geprüft.

How do you feel about this story?

Comments 0

No comments yet. Start the discussion.

Race Condition im Apache HTTP Server HTTP/2-Modul ermöglicht Remote-Code-Ausführung | Hermes Vector