Kritische Apache-HTTP-2-Lücke ermöglicht unauthentifizierte Codeausführung
Eine kritische Schwachstelle im HTTP/2-Modul mod_http2 des Apache HTTP Server gefährdet seit der Veröffentlichung von Version 2.4.71 am Vortag Betreiber von Servern mit aktiviertem HTTP/2. The Hacker News berichtete, dass CVE-2026-119618 Angreifern ohne Anmeldung die Ausführung von Code auf dem Server ermöglichen kann.
Betroffen sind laut The Hacker News die Versionen 2.4.55 bis 2.4.70. Apache behebt die Lücke mit Version 2.4.71. Der Fehler betrifft nur Server, auf denen HTTP/2 aktiviert ist, wie Red Hat in seiner Bewertung schrieb.
Ein Angreifer muss den Server lediglich erreichen können und benötigt keine Authentifizierung. Nach Angaben von Red Hat kann der Angriff die vollständige Kontrolle über den Serverprozess ermöglichen; Red Hat bewertet die Schwachstelle mit 9,8 von 10 Punkten nach CVSS.
Bei der Ausnutzungslage gibt es unterschiedliche Angaben. Red Hats am Vortag veröffentlichte Bewertung spricht laut The Hacker News von einem zuverlässigen Exploit gegen eine Standardkonfiguration mit aktiviertem mod_http2. Wiz sagte später, dass kein Exploit verfügbar sei und keine Ausnutzung in freier Wildbahn gemeldet worden sei.
Administratoren sollten die Protocols-Direktive für den gesamten Server und für jeden virtuellen Host prüfen. Die Apache-Dokumentation verwendet h2 für HTTP/2 über TLS und h2c für HTTP/2 über unverschlüsseltes TCP. Wer noch nicht aktualisieren kann, sollte nach Empfehlung von Wiz h2 und h2c aus der Direktive entfernen und vorübergehend Protocols http/1.1 verwenden.
Auch eigenständige Builds des Moduls mod_h2 sind laut The Hacker News betroffen, und zwar von Version 2.0.8 bis 2.0.42. Für dieses Projekt war dem Bericht zufolge noch keine korrigierte Version veröffentlicht; die letzte Version ist 2.0.42, und das Repository wurde am 9. Juni archiviert. Die Änderung an Protocols gilt laut Wiz auch für diese Builds.
Paketversionen von Linux-Distributionen können abweichen. Red Hat nennt für Red Hat Enterprise Linux 9 beispielsweise das korrigierte Paket mod_http2-2.0.26-7.el9_9.1. Red Hat Enterprise Linux 8 und frühere Versionen enthalten laut der Bewertung den anfälligen Code nicht.