KI-Illustration · Symbolbild
Apache HTTP Server 2.4.71 behebt eine kritische HTTP/2-Sicherheitslücke. Betroffen sind die Versionen 2.4.55 bis 2.4.70. Betreiber entsprechender Webserver sollten prüfen, ob der Fix bereits in ihrem eingesetzten Paket enthalten ist.
Fehler im HTTP/2-Modul kann Codeausführung ermöglichen
Die Schwachstelle CVE-2026-119618 betrifft das Modul mod_http2. Laut Apache kann eine fehlerhafte Abstimmung gleichzeitig laufender Verarbeitungsschritte den Speicher beschädigen und zur Ausführung fremden Codes führen. Die separat auf GitHub veröffentlichten mod_h2-Versionen 2.0.8 bis 2.0.42 sind ebenfalls genannt.
Version 2.4.71 erschien am 11. November. Sie enthält außerdem zwei weitere Sicherheitskorrekturen, die Apache als wichtig beziehungsweise niedrig einstuft. Die Meldung bedeutet keine automatische Betroffenheit aller Dienste, die einen Namen aus dem Apache-Projekt tragen. Entscheidend sind der konkrete HTTP-Server und seine eingesetzten Komponenten.
Unsere Einordnung: Den tatsächlichen Paketstand prüfen
Für die Wartung zählt, welcher Code wirklich auf dem Server läuft. Bei einer selbst gepflegten Installation lässt sich das anhand der verwendeten Version und Module prüfen. Verwaltetes Hosting verlagert diese Aufgabe häufig zum Anbieter. Eine konkrete Rückfrage zum behobenen CVE ist dabei hilfreicher als die allgemeine Frage, ob ein Server aktuell sei.
Ein erfolgreich heruntergeladenes Update ist noch kein Nachweis für einen aktualisierten laufenden Dienst. Nach dem regulären Wartungsprozess sollten Paketstand und erreichbare Webanwendungen kontrolliert werden. Gerade gemeinsam genutzte Server können mehrere Websites versorgen, deren Funktionen anschließend weiter funktionieren müssen.
Apache beschreibt die technische Möglichkeit eines Angriffs. Eine bereits erfolgte Kompromittierung eines bestimmten Servers folgt daraus nicht. Für betroffene Installationen liefert der veröffentlichte Fix dennoch einen konkreten Anlass, die Wartung zeitnah einzuordnen.
Quelle und Stand
Recherchiert am 13. November 2026. Apache HTTP Server 2.4.71 wurde am 11. November veröffentlicht. Grundlage ist das Sicherheitsverzeichnis des Projekts mit Versionsbereichen und Schweregraden.
