Kritische Apache-Lücke in HTTP/2 (CVE-2026-119618): Wer jetzt updaten muss

Kurz: Im HTTP/2-Modul des Apache-Webservers steckt eine kritische Lücke (CVE-2026-119618). Ein Angreifer kann darüber ohne Anmeldung Code auf dem Server ausführen – mit den Rechten des Webserver-Prozesses. Betroffen sind die Versionen 2.4.55 bis 2.4.70, aber nur, wenn HTTP/2 aktiviert ist. Ein Update gibt es bereits. Wer Apache auf einem V-Server oder Root-Server betreibt, sollte heute nachsehen.

Was passiert ist

Die Apache Software Foundation hat einen Fehler in mod_http2 behoben. Laut BleepingComputer handelt es sich um eine Race Condition: Wenn mehrere Threads gleichzeitig auf dieselben Daten zugreifen, kann ein Angreifer den Speicher (Heap) beschädigen und das bis zur Codeausführung treiben. Gefunden haben die Lücke Anthropics OSS Scanner und das Vulnerability-Research-Team von Google Cloud.

Laut Golem bewertet Red Hat die Lücke mit 9,8 von 10 Punkten. BleepingComputer schreibt, eine offizielle Bewertung gebe es noch nicht; die Sicherheitsfirma Wiz stuft sie als kritisch ein. Öffentliche Exploits oder Angriffe sind laut Wiz bisher nicht bekannt – heise nennt einen Exploit möglich, aber schwierig. Das kann sich schnell ändern.

Betroffen ist auch das eigenständige Modul mod_h2 in den Versionen 2.0.8 bis 2.0.42. Mit demselben Update werden zwei weitere, weniger kritische Fehler behoben: CVE-2026-106023 in mod_md und CVE-2026-109163 in mod_vhost_alias.

Wen das wirklich betrifft

• Apache mit aktivem HTTP/2: Ja, sofort handeln. HTTP/2 ist in Apache standardmäßig aus – viele haben es aber für schnellere Seiten eingeschaltet.
• Apache ohne HTTP/2: Nicht über diese Lücke angreifbar. Das Update trotzdem einspielen, es behebt auch die zwei anderen Fehler.
• Nur nginx: Nicht betroffen, das ist eine reine Apache-Lücke.
• Apache hinter nginx (Reverse Proxy): In der Regel spricht nginx mit den Browsern HTTP/2 und mit Apache nur HTTP/1.1. Prüft trotzdem, ob in Apache selbst HTTP/2 aktiv ist.

Was ihr jetzt tun solltet

1. Version prüfen: apache2 -v (Debian/Ubuntu) bzw. httpd -v (AlmaLinux, Rocky). Liegt sie zwischen 2.4.55 und 2.4.70, weiterlesen.
2. Ist HTTP/2 an? apache2ctl -M | grep http2 bzw. httpd -M | grep http2. Erscheint http2_module, ist das Modul geladen.
3. Updaten: apt update && apt upgrade bzw. dnf upgrade httpd, danach Apache neu starten. Distributionen spielen Sicherheitsfixes oft in ihre eigene Paketversion ein – die Versionsnummer muss also nicht springen. Maßgeblich ist der Sicherheitshinweis eurer Distribution.
4. Kein Update verfügbar? HTTP/2 vorübergehend abschalten: a2dismod http2 && systemctl restart apache2 (Debian/Ubuntu) oder h2 aus der Protocols-Zeile entfernen. Die Forscher von watchTowr raten genau dazu: patchen oder HTTP/2 abschalten, bis ihr patchen könnt.
5. Plesk auf eigenem Server: System- und Plesk-Updates einspielen; Plesk bringt Apache über die Paketquellen mit.

Was wir bei NexoraHost dazu sagen

Unsere eigene Plattform läuft auf nginx und ist von dieser Lücke nicht betroffen. Beim Webspace (Plesk) arbeitet Apache hinter nginx; um die Updates dieser Server kümmern wir uns – Webspace-Kunden müssen nichts tun.

Auf euren V-Servern und Root-Servern seid ihr selbst Admin. Wir spielen dort keine Updates ungefragt ein, weil das eure Dienste unterbrechen könnte. Wenn ihr nach dem Update Probleme habt oder unsicher seid, ob euer Server betroffen ist: Ticket schreiben.

V-Server → · Root-Server Linux · Webspace · Apache vs. nginx · Quelle: BleepingComputer