CVE-2026-23918: HTTP/2 Double-Free → potenzielle RCE
Die mit Abstand gefährlichste Lücke der aktuellen Welle ist ein Double-Free in der HTTP/2-Implementierung von Apache. Forscher haben gezeigt, dass speziell präparierte HTTP/2-Frames Speicher zweimal freigeben – mit der Möglichkeit, eigenen Code auf dem Server auszuführen. Betroffen ist der Apache HTTP Server bis einschließlich 2.4.66 mit aktivem mod_http2.
Angriff erfolgt komplett unauthentifiziert.
Wenige manipulierte HTTP/2-Frames reichen aus.
Viele Distros aktivieren mod_http2 standardmäßig.
Bestimmte Allocator-Defaults erleichtern Exploits.
Alle 11 CVEs in 2.4.67 im Überblick
Zwei Lücken erreichen einen CVSS-Wert von 8.8 – im roten „High"-Bereich, knapp unter kritisch. Die übrigen Lücken bewegen sich von DoS über Memory Disclosure bis hin zu Header-Smuggling und HTTP Response Splitting.
Double-Free in mod_http2 bei „Early Reset“-Frames – Speicher wird zweimal freigegeben.
Remote Code Execution ohne Login, nur durch manipulierte HTTP/2-Frames – besonders kritisch auf Debian/Docker-Setups.
Unzureichende Rechtekontrolle in mehreren Modulen erlaubt Rechteausweitung im Worker-Kontext.
Angreifer mit Low-Privilege-Zugriff können in höherprivilegierte Apache-Kontexte ausbrechen.
Spezial-Requests gegen WebDAV-Locks führen zu NULL-Pointer-Dereferenz.
Denial-of-Service: Apache-Worker stürzen ab, Verfügbarkeit der gesamten Website betroffen.
Buffer-Over-Read in ajp_parse_data() – Speicherinhalte werden unbeabsichtigt zurückgegeben.
Memory Disclosure: Sensitive Daten aus Backend-Verbindungen können in Antworten leaken.
Wiederholte ACME-Challenge-Requests erschöpfen Speicher und CPU im Let's-Encrypt-Modul.
Denial-of-Service auf TLS-Renewal – HTTPS-Zertifikate können nicht mehr automatisch erneuert werden.
Fehlende Null-Terminierung in AJP-Parsing-Routine.
Heap Buffer Over-Read mit potenzieller Datenoffenlegung im Reverse-Proxy-Pfad.
Unzureichende Filterung bestimmter Header-Werte erlaubt CRLF-Injection.
Cache-Poisoning, Session-Fixation und XSS-ähnliche Angriffe über manipulierte Antworten.
Fehlerseiten geben in bestimmten Konfigurationen interne Pfade und Module preis.
Informationsleck, das Folgenangriffe (Recon, Exploit-Wahl) deutlich erleichtert.
Bestimmte Header-Kombinationen werden vom Reverse-Proxy nicht korrekt normalisiert.
Request-Smuggling-Risiko zwischen Apache und Backend-Servern.
Edge-Case in der Authentifizierungslogik bestimmter Auth-Module.
Unter spezifischen Konfigurationen kann Authentifizierung umgangen werden.
Heap Buffer Overflow im AJP-Parser – CVSS-Score steht noch aus.
Potenzielle Code-Ausführung im Reverse-Proxy-Pfad, Detail-Bewertung folgt.
Score nach CVSS: 9–10 kritisch, 7–8.9 hoch, 4–6.9 mittel. Apache Software Foundation hat alle 11 Lücken in Version 2.4.67 geschlossen (Release: 04.05.2026).
So läuft die HTTP/2-Angriffskette ab
Der Angriff auf CVE-2026-23918 benötigt weder Zugangsdaten noch tiefes Vorwissen über das Zielsystem. Wenige speziell konstruierte HTTP/2-Frames in einer Standard-Verbindung reichen aus, um Apache in einen inkonsistenten Speicherzustand zu bringen.
Bots scannen das Internet nach Apache-Versionen ≤ 2.4.66 mit aktivem mod_http2.
Angreifer baut HTTP/2-Verbindung auf und öffnet einen Request-Stream.
Manipulierter RST_STREAM-Frame wird gesendet, bevor der Stream vollständig verarbeitet ist.
Speicherbereich wird zweimal freigegeben – Memory Corruption ermöglicht Code-Ausführung.
Apache-Komponenten stehen aktuell verstärkt unter Beschuss: Apache ActiveMQ, Airflow und MINA wurden in den letzten Wochen aktiv für RCE-Kampagnen missbraucht. Sobald Exploit-Code für CVE-2026-23918 öffentlich auftaucht, beginnt typischerweise die opportunistische Massen-Welle innerhalb weniger Stunden.
Welche Apache-Module sind betroffen?
Die Lücken verteilen sich auf mehrere Module – HTTP/2, AJP-Reverse-Proxy, WebDAV, ACME (Let's Encrypt) und Kernkomponenten. Auch wer kein HTTP/2 verwendet, ist über mod_proxy_ajp potenziell betroffen.
Sofortmaßnahmen für Administratoren
Erst die Apache-Version prüfen, dann auf 2.4.67 aktualisieren. Wer nicht sofort patchen kann, sollte mindestens mod_http2 temporär deaktivieren.
Öffentliche Webserver, Reverse Proxies und APIs zuerst patchen – sie sind Internet-exponiert.
mod_proxy_ajp deaktivieren, falls AJP-Backends nicht produktiv genutzt werden.
Docker-Images mit Apache 2.4.66 oder älter neu bauen, Base-Images aktualisieren.
access.log und error.log auf ungewöhnliche RST_STREAM-Muster und Worker-Crashes scannen.
Monitoring-Agents, NAS-Webinterfaces, CRM-Systeme und Industrie-Appliances inventarisieren.
mod_md ist betroffen – ACME/Let's-Encrypt-Renewals nach dem Patch verifizieren.
Nach dem Patch zusätzlich gezielt nach IOCs suchen – ungewöhnliche Worker-Restarts, neue ausgehende Verbindungen, fremde Cron-Jobs, modifizierte Webroots.
Wo Apache überall steckt – auch wenn Sie es nicht wissen
Viele Unternehmen unterschätzen Apache, weil er „nur" ein Webserver ist. In Wirklichkeit läuft er auf Millionen Systemen weltweit – meist als unsichtbare Komponente:
Häufig steckt Apache indirekt in Monitoring-Lösungen, CRM-Systemen, Appliances, Industrieanlagen, NAS-Geräten und Legacy-Webdiensten. Ein vollständiges IT-Asset-Inventar ist die Grundvoraussetzung, um diese Lücken überhaupt schließen zu können.
Wasacon-Perspektive
Apache-Lücken sind ein Klassiker, der Unternehmen im Kreis Heinsberg regelmäßig kalt erwischt – nicht weil Patches fehlen, sondern weil niemand mehr weiß, wo überall Apache läuft. Wir sehen Apache in alten Praxis-Servern, in Hosting-Setups beim Rechenzentrum, im Backend von Bewerber-Portalen, in Monitoring-Stacks und in Industrieanlagen. Ohne Patch-Management, sauberes Asset-Inventar, Netzwerksegmentierung und EDR/XDR wird aus einer einzelnen Lücke schnell ein Domino-Effekt.
FAQ
Apache-Server absichern lassen
Wasacon prüft Ihre Apache-Installationen, identifiziert versteckte Instanzen, härtet Konfigurationen und integriert sie in unsere EDR/XDR- und Monitoring-Stacks – speziell für KMU im Kreis Heinsberg.
