Ein Update für den Webserver Apache korrigiert eine Lücke, über die laut Apache Schadcode aus der Ferne laufen könnte.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Was Apache zur Lücke schreibt

Die Sicherheitsseite des Projekts führt unter „Fixed in Apache HTTP Server 2.4.71“ drei Einträge auf. Der schwerste ist CVE-2026-119618 im Modul mod_http2, das für das Protokoll HTTP/2 zuständig ist. Laut Apache wird dabei Heap-Speicher beschädigt, und Schadcode aus der Ferne sei möglich. Im Englischen heißt das RCE, Remote Code Execution, also das Ausführen von fremdem Code über das Netz.

Als Ursache nennt Apache den gleichzeitigen Zugriff auf eine gemeinsame Ressource ohne saubere Synchronisation, und zwar in der Funktion assign_headers().

Betroffen sind laut Apache die Versionen 2.4.55 bis 2.4.70 des Apache HTTP Server. Für das separate Modul mod_h2, das auf GitHub gepflegt wird, nennt die Seite die Versionen 2.0.8 bis 2.0.42. Die beiden übrigen Lücken in 2.4.71 sind laut heise CVE-2026-106023 (eingestuft als wichtig) und CVE-2026-109163 (niedrig).

Wer gefunden hat und wann gemeldet wurde

Als Finder führt die Apache-Seite den OSS-Scanner von Anthropic und zwei Mitarbeiter von Google Cloud Vulnerability Research auf. Der Scanner meldete den Fund laut Apache am 26. Oktober 2026, die beiden Mitarbeiter am 3. November 2026. Veröffentlicht war das Update danach am 11. November. Wie der Fund zustande kam, bewertet Apache nicht.

Was heise einordnet

heise nennt den Schweregrad kritisch und schreibt, ein CVSS-Wert sei nicht bekannt. Sicherheitsexperten halten einen Exploit nach Angaben von heise für sehr schwierig, weil moderne Betriebssysteme Speicher in zufälliger Anordnung ablegen (ASLR). Das Patchen sei dennoch angeraten.

Zu Angriffen auf die Lücke äußern sich weder Apache noch heise. Die Einschätzung „sehr schwierig“ beschreibt den technischen Aufwand für einen Exploit, mehr gibt sie nicht her.

Zur Vorgeschichte schreibt heise, Apache habe bereits im Mai kritische Lücken behoben, auch im HTTP/2-Modul.

Wer betroffen ist und was zu tun ist

Das Modul mod_http2 ist laut heise standardmäßig nicht aktiviert. Betroffen sind demnach nur Server, die HTTP/2 unterstützen. Wer wissen will, wie es um den eigenen Server steht, schaut in der Konfiguration nach, ob das Modul geladen ist und welche Protokolle erlaubt sind.

Empfohlen wird der Wechsel auf eine reparierte Version, etwa 2.4.71. Wer nicht updaten kann, soll HTTP/2 laut heise wenigstens abschalten. Dazu werden die Protokolle „h2“ und „h2c“ aus der Datei httpd.conf entfernt, die Zeile lautet dann Protocols http/1.1.

Offen bleibt, ob Linux-Distributionen die Korrektur mit anderen Versionsnummern ausliefern. Zu Windows und zu Hosting-Paketen äußern sich Apache und heise ebenfalls nicht. Wer Pakete einer Distribution nutzt, fragt deshalb beim Paketanbieter nach, ob die Korrektur enthalten ist.

Ein Webserver ist aus dem Internet erreichbar, und deshalb betrifft jede Lücke in seiner Software die Betreiber unmittelbar. Wie sich ein solcher Fall bei PHP gestaltet hat, steht im Artikel PHP-Lücken auf Webservern, BSI-Warnung und Patch, und die Fragen an den eigenen Server sind ähnlich.

Unsere Einschätzung

Wer eine Firmenwebsite auf einem Apache-Server betreibt, hat sich die Frage nach HTTP/2 womöglich nie gestellt. Die Antwort steht in der Konfiguration, und für einen Betrieb mit Hosting-Paket liegt die Aufgabe beim Anbieter.

Aus unserer Sicht gehören hier zwei Fälle auseinander. Betriebe mit Hosting-Paket würden beim Anbieter schriftlich nachfragen, ob Version 2.4.71 oder ein Paket mit der Korrektur läuft, und sich die Antwort aufheben. Betriebe mit eigenem Server prüfen die Version und die Protokolleinstellung, und zwar zeitnah, denn die Lücke ist als kritisch eingestuft und das Update liegt vor. Ist ein Update vorerst nicht möglich, bietet das Abschalten von HTTP/2 laut heise eine Zwischenlösung. Aus unserer Sicht sollte diese Zwischenlösung befristet bleiben und einen festen Termin für das Update bekommen.

Die Aussage, ein Exploit sei sehr schwierig, sollte niemand als Entwarnung lesen. Sie beschreibt eine Einschätzung von Experten zum jetzigen Stand, und heise selbst hält das Patchen weiter für angeraten. Ein Betrieb, der ohnehin regelmäßig Updates einspielt, hat mit 2.4.71 einen weiteren Eintrag auf der Liste. Ein Betrieb, der seinen Server seit Jahren nicht angefasst hat, bekommt mit dieser Meldung einen guten Anlass, die Zuständigkeit zu klären: Wer pflegt den Server, wer bekommt die Warnungen, und wer entscheidet über Wartungsfenster?

Auffällig an der Meldung ist außerdem, wer in der Finderliste steht. Das Projekt nennt den OSS-Scanner von Anthropic neben Mitarbeitern von Google Cloud Vulnerability Research und wertet das nicht. Für Betriebe ändert das nichts an der Aufgabe, denn die Frage bleibt dieselbe: Läuft die reparierte Version, ja oder nein?

Wer die Antwort für sich dokumentiert, hat beim nächsten Fund dieser Art wenig Arbeit.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 12. November 2026):

Häufige Fragen

Welche Apache-Versionen sind von CVE-2026-119618 betroffen?

Laut Apache HTTP Server Project sind die Versionen 2.4.55 bis 2.4.70 betroffen. Für das separate Modul mod_h2 von GitHub nennt die Apache-Seite die Versionen 2.0.8 bis 2.0.42. Behoben ist die Lücke in Version 2.4.71 vom 11. November 2026.

Ist jeder Apache-Server betroffen?

Nach Angaben von heise ist das Modul mod_http2 standardmäßig nicht aktiviert. Betroffen sind demnach nur Server, die HTTP/2 unterstützen. Ob das bei einem bestimmten Server der Fall ist, zeigt die Konfiguration.

Wird die Lücke bereits ausgenutzt?

Keine der beiden Quellen meldet Angriffe, und keine schließt sie aus. heise gibt die Einschätzung von Sicherheitsexperten wieder, ein Exploit sei wegen der zufälligen Speicheranordnung (ASLR) sehr schwierig. Das Patchen sei dennoch angeraten.

Was sollte ein Betrieb jetzt regeln?

Betriebe mit Hosting-Paket fragen beim Anbieter nach, ob Version 2.4.71 oder ein Paket mit der Korrektur läuft. Betriebe mit eigenem Server prüfen Version und Protokolleinstellung und wechseln auf eine reparierte Version. Wer nicht updaten kann, soll laut heise HTTP/2 abschalten, indem „h2“ und „h2c“ aus der httpd.conf entfernt werden.

Wer im Betrieb weiß, welche Version auf dem Webserver läuft und wer sie pflegt?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 12. November 2026. Stand der Recherche: 12. November 2026.