Kritische Sicherheitslücke in Apache2 ermöglicht Codeeinschleusung

Im beliebten Webserver Apache2 steckt eine Sicherheitslücke, die Angreifern die Einschleusung von Schadcode ermöglichen könnte. Der Fehler versteckt sich in einer Funktion des HTTP/2-Moduls mod_http2, wo eine Speichermanipulation zur Remote Code Execution (RCE) führen könnte. Wie Sicherheitsexperten konstatieren, ist ein Exploit wegen der in modernen Betriebssystemen integrierten Zufälligkeit der Speicheradressierung (ASLR) sehr schwierig.

Die in der Apache-Sicherheitsübersicht gelistete Sicherheitslücke CVE-2026-119618 (Schweregrad kritisch, kein CVSS-Wert bekannt) steckt in der Funktion „assign_headers()“. Gefunden haben sie Anthropics OSS-Scanner und zwei Mitarbeiter von Google Cloud Vulnerability Research. Da sich die Lücke im standardmäßig nicht aktivierten Modul mod_http2 verbirgt, sind nur Server betroffen, die das Protokoll HTTP/2 unterstützen.

Exploit schwierig, Patchen dennoch angeraten

Wer einen Apache-Webserver betreibt, sollte also auf eine reparierte Version wechseln – etwa die Version 2.4.71. Diese Version behebt weitere Sicherheitslücken, nämlich CVE-2026-106023 (Einstufung „wichtig“) und CVE-2026-109163 (Einstufung „niedrig“). Wer zum Update nicht imstande ist, sollte wenigstens HTTP/2 deaktivieren, etwa durch Löschen der Protokolle „h2“ und „h2c“ in httpd.conf:

Protocols http/1.1

Sicherheitsexperten wie Kevin Beaumont halten die Lücke für schwierig ausnutzbar. Linux-eigene Sicherheitsmechanismen wie ASLR (Address Space Layout Randomization) erschwerten die Erstellung eines funktionierenden Exploits, so der Brite.

Apache hatte bereits im Mai kritische Sicherheitslücken behoben – auch in seinem HTTP/2-Modul.