Apache2: Kritische Lücke im HTTP/2-Modul

Apache2: Kritische Lücke im HTTP/2-Modul

Der beliebte Webserver Apache2 enthält eine kritische Sicherheitslücke, die Angreifern die Einschleusung von Schadcode ermöglichen könnte. Die Schwachstelle CVE-2026-119618 versteckt sich in der Funktion „assign_headers()“ des HTTP/2-Moduls. Ein Exploit ist möglich, aber wegen ASLR schwierig.

Ursache und Betroffenheit

Die Lücke erlaubt eine Speichermanipulation, die zu Remote Code Execution (RCE) führen kann. Gefunden wurde sie von Anthropics OSS-Scanner und zwei Mitarbeitern von Google Cloud Vulnerability Research. Da das Modul mod_http2 standardmäßig nicht aktiviert ist, sind nur Server betroffen, die HTTP/2 unterstützen.

Patch und Workaround

Apache hat mit Version 2.4.71 die Lücke behoben; die Version schließt außerdem CVE-2026-106023 („wichtig“) und CVE-2026-109163 („niedrig“). Wer nicht sofort updaten kann, sollte HTTP/2 in der httpd.conf deaktivieren:

Protocols http/1.1

Dazu werden die Protokolle „h2“ und „h2c“ aus der Konfiguration entfernt. Sicherheitsexperte Kevin Beaumont stuft die Lücke als schwer ausnutzbar ein, weil ASLR funktionierende Exploits erschwert. Bereits im Mai hatte Apache kritische Lücken im HTTP/2-Modul gepatcht.

Quellen

• heise online: Kritische Sicherheitslücke in Apache2 ermöglicht Codeeinschleusung (12.11.2026)
• Apache: Sicherheitsübersicht Version 2.4

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.