// HEISE ONLINE — CYBERSECURITY
Kritische Sicherheitslücke in Apache2 ermöglicht Codeeinschleusung
Nur Server mit aktiviertem HTTP/2 sind betroffen, Updates sind angeraten. Ein Exploit ist möglich, aber schwierig.
Im beliebten Webserver Apache2 steckt eine Sicherheitslücke, die Angreifern die Einschleusung von Schadcode ermöglichen könnte. Der Fehler versteckt sich in einer Funktion des HTTP/2-Moduls mod_http2, wo eine Speichermanipulation zur Remote Code Execution (RCE) führen könnte. Wie Sicherheitsexperten konstatieren, ist ein Exploit wegen der in modernen Betriebssystemen integrierten Zufälligkeit der Speicheradressierung (ASLR) sehr schwierig.
Die in der Apache-Sicherheitsübersicht gelistete Sicherheitslücke CVE-2026-119618 (Schweregrad kritisch, kein CVSS-Wert bekannt) steckt in der Funktion „assign_headers()“. Gefunden haben sie Anthropics OSS-Scanner und zwei Mitarbeiter von Google Cloud Vulnerability Research. Da sich die Lücke im standardmäßig nicht aktivierten Modul mod_http2 verbirgt, sind nur Server betroffen, die das Protokoll HTTP/2 unterstützen.
Wer einen Apache-Webserver betreibt, sollte also auf eine reparierte Version wechseln – etwa die Version 2.4.71. Diese Version behebt weitere Sicherheitslücken, nämlich CVE-2026-106023 (Einstufung „wichtig“) und CVE-2026-109163 (Einstufung „niedrig“). Wer zum Update nicht imstande ist, sollte wenigstens HTTP/2 deaktivieren, etwa durch Löschen der Protokolle „h2“ und „h2c“ in httpd.conf:
Sicherheitsexperten wie Kevin Beaumont halten die Lücke für schwierig ausnutzbar. Linux-eigene Sicherheitsmechanismen wie ASLR (Address Space Layout Randomization) erschwerten die Erstellung eines funktionierenden Exploits, so der Brite.
Apache hatte bereits im Mai kritische Sicherheitslücken behoben – auch in seinem HTTP/2-Modul.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.