Sicherheitswarnungen · 11. November 2026
Apache HTTP Server: Kritische Lücke in HTTP/2 erlaubt Übernahme von Webservern
Im HTTP/2-Modul des Apache-Webservers steckt ein Speicherfehler, über den Fremde ohne Anmeldung Code auf dem Server ausführen können. Version 2.4.71 behebt das Problem.
Worum es geht
Apache HTTP Server (mod_http2)
Apache ist einer der meistgenutzten Webserver und läuft auf vielen Firmenwebsites, Webshops und internen Anwendungen. Das Modul mod_http2 stellt die neuere Protokollversion HTTP/2 bereit. Bei der Verarbeitung bestimmter Anfragen kann es dabei zu einem Fehler in der Speicherverwaltung kommen.
Ein Angreifer braucht dafür weder Zugangsdaten noch Mitwirkung eines Benutzers. Er schickt präparierte Anfragen an den Server und kann im schlimmsten Fall eigenen Code darauf ausführen. Red Hat bewertet die Lücke mit CVSS 9,8 und verweist auf öffentliche Forschung, die einen verlässlichen Angriff zeigt. Angriffe in freier Wildbahn sind bisher nicht bekannt.
Betroffen sind nur Server, auf denen HTTP/2 eingeschaltet ist. Das ist bei vielen aktuellen Installationen der Fall. Die Linux-Distributionen liefern ihre korrigierten Pakete nach und nach aus, bei manchen stand ein Update zum Zeitpunkt der Meldung noch aus.
Betroffen
- Apache HTTP Server 2.4.55 bis 2.4.70 mit eingeschaltetem HTTP/2 (h2 oder h2c in der Einstellung Protocols)
- Eigenständige mod_h2-Builds 2.0.8 bis 2.0.42 (für dieses Projekt gibt es keine korrigierte Version mehr)
Behoben
- Apache HTTP Server 2.4.71
- Red Hat Enterprise Linux 9: mod_http2-2.0.26-7.el9_9.1
- Red Hat Enterprise Linux 10: mod_http2-2.0.29-5.el10_3.1
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Feststellen, auf welchen eigenen oder gemieteten Servern Apache läuft, und beim Hoster nachfragen, ob dort bereits aktualisiert wurde.
- 02
Apache auf Version 2.4.71 bzw. auf das korrigierte Paket der Linux-Distribution aktualisieren und den Dienst neu starten.
- 03
Ist noch kein Update verfügbar, HTTP/2 vorübergehend abschalten, indem in der Einstellung Protocols nur http/1.1 eingetragen wird.
- 04
Nach dem Update die Protokolle des Webservers auf auffällige Abstürze oder ungewöhnliche Anfragen der letzten Tage durchsehen.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 11. November 2026. Grundlage: The Hacker News · SecurityOnline. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu