Scroll to top
    Zurück zum Blog
    IT-Sicherheit

    Dringend: Kritische Lücke in Apache HTTP Server CVE-2026-119618

    Apache hat eine kritische Sicherheitslücke in der HTTP/2-Umsetzung bestätigt. Betroffen sind die Versionen 2.4.55 bis 2.4.70, sofern HTTP/2 aktiv ist. Die Lücke kann dazu führen, dass Angreifer Code aus der Ferne ausführen. Den offiziellen Fix gibt es seit dem 11.11.2026 in Apache 2.4.71.

    12.11.2026 4 min Lesezeit
    Dringend: Kritische Lücke in Apache HTTP Server CVE-2026-119618
    Teilen
    WhatsApp
    Telegram
    Facebook

    Auf einen Blick

    CVE-2026-119618 ist eine kritische Schwachstelle in mod_http2. Apache stuft sie als kritisch ein, Red Hat bewertet sie mit CVSS 9.8. Eine Heap-Corruption kann unter bestimmten Bedingungen zu Remote Code Execution führen. Nginx, LiteSpeed und OpenLiteSpeed sind nicht betroffen.

    CVECVE-2026-119618
    Komponentemod_http2
    Versionen2.4.55 – 2.4.70
    SofortmaßnahmeHTTP/2 deaktivieren

    Was betroffen ist

    Die Lücke betrifft Apache HTTP Server 2.4.55 bis 2.4.70, sofern HTTP/2 aktiv ist. Apache hat sie bestätigt. Den Upstream-Fix gibt es seit dem 11.11.2026 in Apache 2.4.71.

    Viele Ubuntu-Server – auch bei Hosting-Panels wie Enhance – installieren Apache aus den Ubuntu-Paketen. Der Fix kommt dort typischerweise als Backport und nicht zwingend als Versionsnummer 2.4.71. Am 12.11.2026 war ein entsprechendes Ubuntu-Sicherheitsupdate noch nicht sichtbar. Enhance empfiehlt deshalb eine sofortige Absicherung und danach das Einspielen des offiziellen Pakets, sobald es vorliegt.

    Sofortmaßnahme: HTTP/2 deaktivieren

    Prüfe zuerst die installierte Version und schalte die HTTP/2-Module ab, bis der Patch da ist.

    1. Version prüfen
    admin@webserver: ~
    dpkg -l apache2
    # Installierte Apache-Version anzeigen

    In /etc/apache2/apache2.conf diese Zeilen auskommentieren und Apache neu starten:

    /etc/apache2/apache2.conf
    #LoadModule proxy_http2_module modules/mod_proxy_http2.so
#LoadModule http2_module modules/mod_http2.so
systemctl restart apache2

    Auf typischen Debian- und Ubuntu-Systemen geht das oft auch so:

    admin@webserver: ~
    a2dismod http2 proxy_http2
systemctl restart apache2
    # HTTP/2-Module deaktivieren und Apache neu starten

    Die drei Folien aus unserem Hinweis auf Instagram und LinkedIn fassen die Schritte zusammen:

    Apache CVE-2026-119618, Folie 1 von 3Apache CVE-2026-119618, Folie 2 von 3Apache CVE-2026-119618, Folie 3 von 3

    Patch verfolgen und einspielen

    Prüfe, ob Ubuntu den Backport schon ausgeliefert hat. Steht die CVE im Changelog, das Paket einspielen:

    admin@webserver: ~
    apt update
apt-cache policy apache2
apt changelog apache2
    # Paketstand und Changelog prüfen
    admin@webserver: ~
    apt update && apt install apache2
    # Sicherheitsupdate einspielen, sobald CVE-2026-119618 im Changelog steht

    Quellen: Apache HTTP Server Project und die Enhance-Community-Anleitung.

    Häufige Fragen

    CVE-2026-119618 ist eine von Apache als kritisch eingestufte Sicherheitslücke in der HTTP/2-Umsetzung (mod_http2). Sie kann zu Heap-Corruption und unter bestimmten Bedingungen zu Remote Code Execution führen. Red Hat bewertet sie mit CVSS 9.8.

    Betroffen sind Apache HTTP Server 2.4.55 bis 2.4.70, sofern das HTTP/2-Modul aktiv ist. Nginx, LiteSpeed und OpenLiteSpeed sind nicht betroffen. Der offizielle Fix steckt in Apache 2.4.71 vom 11.11.2026.

    Viele Ubuntu-Server – auch bei Hosting-Panels wie Enhance – installieren Apache aus den Ubuntu-Paketen. Der Fix kommt dort typischerweise als Backport und nicht zwingend als Versionsnummer 2.4.71. Am 12.11.2026 war ein entsprechendes Ubuntu-Sicherheitsupdate noch nicht sichtbar. Schalte HTTP/2 deshalb sofort ab und spiele das Paket ein, sobald die CVE im Changelog steht.

    Du brauchst Hilfe bei der Prüfung?

    Wir unterstützen dich bei der Kontrolle deiner Apache-Server, der Sofortmaßnahme und dem Einspielen des Patches, sobald der Ubuntu-Backport da ist.

    Zur IT-Sicherheit Kostenlose Sicherheitsanalyse

    Mehr zu kritischen CVEs & Server-Sicherheit

    Weitere Analysen zu aktuellen Schwachstellen in Webservern und kritischer Infrastruktur:

    Diskussion

    0 Beiträge

    Lade Kommentare …
    Neuer Kommentar
    0/2000

    E-Mail wird nur zur Verifizierung verwendet, nicht veröffentlicht. Beiträge werden manuell geprüft.

    IT-Budget Quick-Check

    Wie viel sollte Ihr Unternehmen jährlich in IT investieren?

    Risiko-Level: Mittel · Multiplikator: 1.2×

    Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.

    Das könnte Sie auch interessieren

    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe
    IT-Sicherheit

    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe

    Am 13. Oktober 2026 informiert die CDU Itzehoe über einen Sicherheitsvorfall in ihrer Managed Nextcloud. Angreifer konnten nach bisherigen Angaben sämtliche gespeicherten Dateien herunterladen – Kontakte, Mitgliedsdaten, interne Dokumente, möglicherweise Beitrags- und Bankdaten. Was der Fall für gemanagte Clouds heißt.

    12.11.202613 min
    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen
    IT-Sicherheit

    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen

    Am 1. Oktober 2026 entdecken die Hamburger Grünen bei einer Routineprüfung einen automatisierten Angriff auf ihren Mailserver. Mitgliedsdatenbank und Dateiserver bleiben unberührt, Hinweise auf einen Datenabfluss gibt es zunächst nicht. Was der Fall für geteilte IT in Parteien und Unternehmen heißt.

    12.11.202613 min
    Die Polizei war zuerst da: Der Datenabfluss bei Liftstar
    IT-Sicherheit

    Die Polizei war zuerst da: Der Datenabfluss bei Liftstar

    Am 23. September 2026 erfährt die Kölner Liftstar GmbH von der Polizei, dass Unbekannte einen Datenserver abgegriffen haben. Kopiert wurden Kunden- und Beschäftigtendaten, darunter Gesundheitsdaten und Fotos vom Einbau der Treppenlifte. Was der Fall für Unternehmen mit besonders schützenswerten Daten heißt.

    12.11.202613 min

    Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.

    Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?

    Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.

    Jetzt kostenlosen Check anfordern

    Bekannt aus

    Wasa Consult, Data Recovery Service, Heinsberg, Nordrhein-Westfalen