Kritische RCE-Lücke bedroht 64 Prozent aller Cloud-Umgebungen über Apache HTTP Server
Critical RCE Vulnerability in Apache HTTP Server
In der Funktion assign_headers() des HTTP/2-Moduls von Apache HTTP Server klafft eine Race Condition, durch die ein entfernter, nicht authentifizierter Angreifer Heap-Speicher korrumpieren und beliebigen Code ausführen kann. Betroffen sind Versionen 2.4.55 bis 2.4.70; Wiz zufolge sind 64 Prozent aller Cloud-Umgebungen verwundbar, 51 Prozent sogar öffentlich erreichbar. Ein Exploit ist bislang nicht bekannt. Sicherheitsteams sollten umgehend auf 2.4.71 aktualisieren oder HTTP/2 vorübergehend deaktivieren.
Laut Wiz-Daten sind 64 Prozent der Cloud-Umgebungen mit Ressourcen ausgestattet, die für CVE-2026-119618 anfällig sind.
- jamesy0ung
Der Patch sieht aus wie https://github.com/apache/httpd/commit/5ed39287660daacd1233c...
- rurcliped
Für alle, die einen Apache httpd vorübergehend abschalten: Es gibt einen Schritt, der manchmal übersehen wird – ein Cron-Job oder systemd-Timer für certbot. Der kann httpd neu starten und dann laufen lassen. Anders gesagt: In manchen gängigen Anwendungsfällen von Let's Encrypt reichen Standardanweisungen wie "systemctl disable --now apache2" nicht aus, um httpd ausgeschaltet zu halten.
- throooooo
Ich habe viel Linux-Sysadmin-Erfahrung, aber seit über einem Jahrzehnt nichts mehr mit Apache zu tun gehabt. Ich dachte, inzwischen läuft das meiste über nginx oder andere Lösungen.
- ankit9673
Jede neue Schwachstelle bringt mich zum Nachdenken darüber, wie schlecht wir eigentlich sicheren Code schreiben.
- thehamkercat
> Was ist CVE-2026-111497?
> CVE-2026-119618 ist eine kritische Schwachstelle mit hohem Schweregrad, bei der....
zwei CVEs? (111497 != 11968)
- account42
> im HTTP/2-Modul (mod_http2) des Apache HTTP Server
Im Nachhinein finde ich, dass HTTP/2 ein Fehler war. Die theoretischen Vorteile rechtfertigen die zusätzliche Komplexität einfach nicht. Es hätte definitiv nicht so durchgepeitscht werden dürfen.
- neurostimulant
Wahrscheinlich laufen die meisten Apache/PHP-Installationen mit mpm_prefork und sind davon nicht betroffen.
- klaas-
Duplikat von https://news.ycombinator.com/item?id=50453368