Apache hat am 11. November 2026 die Version 2.4.71 seines HTTP Servers veröffentlicht. Sie schließt eine als kritisch eingestufte Lücke im Modul mod_http2 (CVE-2026-119618), über die laut dem Sicherheitsanbieter Wiz ein Angreifer aus der Ferne und ohne Anmeldung fremden Code auf dem Server ausführen kann.
Betroffen sind die Versionen 2.4.55 bis 2.4.70. Wiz kannte am Veröffentlichungstag weder einen öffentlichen Exploit noch Angriffe. Dieser Stand kann sich schnell ändern, sobald Details zum Fehler im Umlauf sind.
Was steckt hinter der Lücke in mod_http2?
Der Fehler liegt in der Funktion assign_headers(). Dort greifen mehrere Programmteile gleichzeitig auf dieselben Daten zu, ohne sich sauber abzustimmen. Bei ungünstigem Timing wird der Heap (der Speicherbereich für dynamische Daten) beschädigt, und im Erfolgsfall läuft fremder Code mit den Rechten des Webserver-Prozesses.
Die Sicherheitsmeldungen von Apache führen den Fehler als kritisch. Gefunden hat ihn Anthropics OSS Scanner, der ihn am 26. Oktober meldete, unabhängig davon auch Forscher von Google Cloud am 3. November. Der Fix entstand am 11. November, am selben Tag erschien 2.4.71.
Das Update bringt zwei weitere Korrekturen. In mod_md stürzt bei bestimmten Anfragen ein Kindprozess ab (Stufe „important“, Versionen 2.4.30 bis 2.4.70). In mod_vhost_alias überschreibt ein Fehler ein einzelnes Byte im Stack (Stufe „low“, nur 2.4.69 und 2.4.70).
Betrifft das auch deine WordPress-Seite?
Die Lücke sitzt im Webserver, nicht in WordPress. Sie betrifft jede Seite, die ein Apache mit mod_http2 in den genannten Versionen ausliefert, also auch viele WordPress-Installationen. Andere Webserver wie nginx stehen nicht in der Meldung.
Wie verbreitet das ist, beziffert Wiz für Cloud-Umgebungen: 64 Prozent der untersuchten Umgebungen enthalten betroffene Ressourcen, 51 Prozent öffentlich erreichbare Instanzen. Die Konfiguration hat Wiz dabei nicht berücksichtigt, ob HTTP/2 aktiv ist, bleibt also offen. Für mod_h2 aus einem separaten GitHub-Bezug prüfst du die Version selbst: Apache führt 2.0.8 bis 2.0.42 als betroffen, Wiz nennt 2.0.42 als gepatchte Version.
Was das für dich bedeutet
Auf einem eigenen Server oder vServer liest du die Version mit apachectl -v aus und prüfst mit apachectl -M, ob das Modul http2_module geladen ist. Liegt die Version zwischen 2.4.55 und 2.4.70, spiel das Update auf 2.4.71 ein. Linux-Distributionen übernehmen Korrekturen oft ohne neue Versionsnummer, dann zeigt der Changelog des Pakets, ob die Lücke behoben ist.
Was tust du gegen die mod_http2-Lücke?
Für Apache 2.4.55 bis 2.4.70, Stand 11. November 2026
Wie betreibst du deine Website?
- Eigener Server oder vServerAuf Apache 2.4.71 aktualisieren
- Hosting-PaketDen Hoster nach dem Patchstand fragen
- Update nicht sofort möglichHTTP/2 abschalten, nur http/1.1 erlauben
Zum Zeitpunkt der Wiz-Analyse war kein Exploit bekannt.
Quellen: Apache HTTP Server Project, Wiz
Ein sofortiges Update ist nicht immer möglich. Dann hilft eine Übergangslösung: In der Konfiguration bleibt bei Protocols nur http/1.1, die Einträge h2 und h2c entfallen. Browser greifen dann auf HTTP/1.1 zurück, deine Seite bleibt erreichbar und lädt bis zum Update womöglich etwas langsamer.
Bei einem Hosting-Paket kannst du den Server nicht selbst aktualisieren. Frag den Hoster am besten, ob 2.4.71 oder ein Paket mit dem Fix im Einsatz ist, und notier dir Datum und Antwort, falls du Kundenseiten betreust.
Apache hat die Version 2.4.71 am 11. November 2026 veröffentlicht.
Quellen
