Kritische Apache-HTTP/2-Schwachstelle ermöglicht Remote Code Execution in den Versionen 2.4.55 bis 2.4.70

Im Apache HTTP Server, speziell in seinem HTTP/2-Modul mod_http2, wurde eine schwerwiegende Sicherheitslücke identifiziert. Diese Schwachstelle, verfolgt unter der Kennung CVE-2026-119618, ermöglicht es nicht authentifizierten Angreifern, beliebigen Code auf betroffenen Servern auszuführen. Das Problem betrifft die Versionen 2.4.55 bis 2.4.70 und wurde mit der gestern veröffentlichten Version 2.4.71 behoben.

Was ist passiert?

Die Sicherheitslücke befindet sich im Modul mod_http2, das den HTTP/2-Traffic für den Apache Webserver verarbeitet. Laut Red Hat benötigt ein Angreifer, der den Server erreichen kann, keine Authentifizierung, um diese Schwachstelle auszunutzen. Eine erfolgreiche Ausnutzung könnte dem Angreifer die vollständige Kontrolle über den Serverprozess verschaffen. Red Hat stuft die Schwere des Problems auf der CVSS-Skala mit 9,8 von 10 Punkten ein, was einer kritischen Bedrohungsebene entspricht. Die Einschätzung des Herstellers weist darauf hin, dass öffentliche Forschungsarbeiten einen zuverlässigen Exploit gegen Server demonstriert haben, die mit Standardkonfigurationen laufen und bei denen mod_http2 aktiviert ist, obwohl kein spezifisches Forschungspaper verlinkt wurde.

Es gibt widersprüchliche Berichte regarding zur aktiven Ausnutzung. Während Red Hat die Existenz einer zuverlässigen Exploit-Methode hervorhob, erklärte das Sicherheitsunternehmen Wiz später am selben Tag, dass kein öffentlicher Exploit-Code verfügbar sei und keine Ausnutzung in freier Wildbahn beobachtet worden sei. Diese Diskrepanz deutet darauf hin, dass zwar das theoretische Risiko extrem hoch ist und Proof-of-Concept-Methoden existieren, weit verbreitete automatisierte Angriffe jedoch möglicherweise noch nicht stattfinden. Administratoren sollten die Bedrohung angesichts des hohen Schweregrads und der geringen Zugangsbarriere für eine Ausnutzung als unmittelbar einstufen.

Der Fix ist in Apache HTTP Server Version 2.4.71 enthalten, die gestern veröffentlicht wurde. Dieses Update behebt auch einen Absturz im Modul mod_md, der als wichtig eingestuft wird, sowie eine Überschreibung von einem Byte Stack-Speicher im Modul mod_vhost_alias mit niedrigem Schweregrad. Für Nutzer, die eigenständige Builds des Moduls von GitHub unter dem Namen mod_h2 verwenden, sind die Versionen 2.0.8 bis 2.0.42 betroffen. Für diese eigenständigen Builds wurde kein fixiertes Release veröffentlicht, und das Repository ist seit dem 9. Juni schreibgeschützt.

Wichtige Details

• CVE-Kennung: CVE-2026-119618 betrifft Apache HTTP Server Versionen 2.4.55 bis 2.4.70.
• Behobene Version: Apache HTTP Server 2.4.71 behebt das Problem; das eigenständige mod_h2 bleibt unfixed.
• Angriffsvektor: Nicht authentifizierte Remote-Angreifer können Code ausführen, wenn HTTP/2 über die Protokolle h2 oder h2c aktiviert ist.
• Status bei Red Hat: Fixes wurden für RHEL 9 und 10 ausgeliefert; RHEL 8 und ältere Versionen sind aufgrund einer unterschiedlichen Modularchitektur nicht betroffen.
• Status bei Debian: Debian unstable (sid) ist gefixt; Debian bookworm, trixie und forky bleiben verwundbar, ohne gelisteten Fix.
• Workaround: Wenn ein Patching nicht sofort möglich ist, entfernen Sie h2 und h2c aus der Protocols-Direktive, um HTTP/2 zu deaktivieren.

Hintergrund

HTTP/2 ist eine wesentliche Überarbeitung des HTTP-Netzwerkprotokolls, das vom World Wide Web verwendet wird. Es führt Verbesserungen wie Multiplexing, Header-Kompression und Server-Push ein, um die Leistung zu steigern. Bei Apache wird diese Funktionalität durch das Modul mod_http2 bereitgestellt. Administratoren aktivieren sie über die Protocols-Direktive in ihren Konfigurationsdateien, wobei h2 für HTTP/2 über TLS und h2c für Klartext-HTTP/2 angegeben wird. Da dieses Modul komplexe binäre Frames aus Client-Anfragen verarbeitet, kann jeder Fehler im Speichermanagement innerhalb des Moduls zu schwerwiegenden Sicherheitslücken wie Buffer Overflows oder Use-after-Free-Fehlern führen, die Angreifer nutzen können, um bösartigen Code auszuführen.

Linux-Distributionen paketieren Apache oft anders als das Upstream-Projekt. Beispielsweise modifiziert Red Hat Enterprise Linux (RHEL) das Modul mod_http2 so, dass jeder HTTP/2-Stream seinen eigenen Speicher-Allokator erhält. Diese architektonische Änderung macht die Ausnutzung von Speicherkorruptions-Schwachstellen erheblich schwieriger, weshalb Red Hat das Problem für RHEL 9 und 10 als „Wichtig“ und nicht als „Kritisch“ einstuft. Andere Distributionen wie Debian und Ubuntu liefern möglicherweise Code aus, der näher am Upstream liegt, was sie stärker der Rohschwere der Schwachstelle aussetzt.

Warum ist das relevant?

Für Teams, die selbst gehostete Infrastruktur verwalten, stellt diese Sicherheitslücke eine direkte Bedrohung für die Integrität des Servers dar. Da der Angriff keine Authentifizierung erfordert, ist jeder öffentlich zugängliche Apache-Server mit aktiviertem HTTP/2 ein potenzielles Ziel. Eine Kompromittierung könnte zu Datendiebstahl, Dienstunterbrechungen oder dazu führen, dass der Server als Sprungpunkt für weitere Netzwerkangriffe missbraucht wird. Der hohe CVSS-Wert spiegelt die Leichtigkeit der Ausnutzung und die Gesamtauswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit wider.

Die Situation wird durch den unterschiedlichen Status der Fixes über verschiedene Betriebssysteme hinweg erschwert. Während Upstream-Apache-Nutzer einfach auf 2.4.71 aktualisieren können, müssen sich Nutzer von Debian-Stable-Zweigen oder Amazon Linux möglicherweise auf herstellerspezifische Patches verlassen. Darüber hinaus haben diejenigen, die die archivierten eigenständigen mod_h2-Bibliotheken verwenden, keinen offiziellen Patch-Pfad, was sie zwingt, sich auf Konfigurations-Workarounds zu verlassen, die HTTP/2 vollständig deaktivieren und potenziell die Leistung für moderne Clients beeinträchtigen.

Was Sie tun können

• Version prüfen: Stellen Sie fest, ob Ihr Apache-Server zwischen den Versionen 2.4.55 und 2.4.70 läuft oder ob Sie mod_h2 2.0.8–2.0.42 verwenden.
• HTTP/2-Status überprüfen: Prüfen Sie Ihre Konfiguration auf die Protocols-Direktive. Wenn h2 oder h2c vorhanden ist, ist HTTP/2 aktiv.
• Patches anwenden: Aktualisieren Sie sofort auf Apache 2.4.71, wenn Sie Upstream-Releases verwenden. Für RHEL-Nutzer wenden Sie die spezifischen mod_http2-Pakete an, die in den aktuellen Advisories aufgelistet sind.
• Workaround implementieren: Wenn Sie nicht sofort patchen können, bearbeiten Sie Ihre Apache-Konfiguration, um h2 und h2c aus der Protocols-Direktive zu entfernen, wodurch HTTP/2 effektiv deaktiviert wird, bis ein Fix angewendet wird.
• Vendor-Tracker überwachen: Behalten Sie die Security-Tracker von Debian, Ubuntu und Amazon Linux im Auge, da einige derzeit keinen Fix auflisten.
• Eigenständige Module prüfen: Wenn Sie das archivierte mod_h2 von GitHub verwenden, planen Sie die Migration zum Haupt-Apache-Paket oder stellen Sie sicher, dass HTTP/2 strikt deaktiviert bleibt.