{"id":184237,"date":"2026-11-12T11:41:47","date_gmt":"2026-11-12T09:41:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimost-v-apache-httpd-zkspluatiruemaya-dlya-udalyonnogo-vypolneniya-koda-cherez-http-2"},"modified":"2026-11-12T11:41:52","modified_gmt":"2026-11-12T09:41:52","slug":"apache-httpd-vulnerability-exploited-for-remote-code-execution-via-http-2","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/apache-httpd-vulnerability-exploited-for-remote-code-execution-via-http-2","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in Apache httpd, die zur Remote-Codeausf\u00fchrung \u00fcber HTTP\/2 ausgenutzt wird","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Ver\u00f6ffentlichung des HTTP-Servers Apache 2.4.71, in der eine Schwachstelle (CVE-2026-119618) im Modul mod_http2 mit kritischem Gef\u00e4hrdungsgrad behoben wurde, ist erfolgt. Die Schwachstelle erm\u00f6glicht es, durch das Senden einer speziell gestalteten Anfrage \u00fcber das HTTP\/2-Protokoll Code remote auf dem Server auszuf\u00fchren. Die Schwachstelle tritt ab den Versionen Apache httpd 2.4.55 auf und betrifft auch das separate Modul mod_h2, das \u00fcber GitHub verteilt wird. Der Status der Behebung von Sicherheitsanf\u00e4lligkeiten in den Distributionen kann auf den folgenden Seiten \u00fcberpr\u00fcft werden: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
\nFedora, FreeBSD.<\/p>\n

Das Problem wird durch einen Race Condition verursacht, wenn die Funktion assign_headers() gleichzeitig aus verschiedenen Threads aufgerufen wird. Dies geschieht aufgrund der Verarbeitung einer f\u00fcr alle Threads gemeinsamen Struktur (req->headers) anstelle einer separaten Kopie f\u00fcr jeden Thread (r->headers_in). Bei erfolgreicher Ausnutzung kann ein Angreifer Speicher au\u00dferhalb des zugewiesenen Puffers ver\u00e4ndern. Die Schwachstelle wurde etwa zeitgleich von Forschern der Unternehmen Anthropic und Google entdeckt. Ein Exploit wurde bisher nicht \u00f6ffentlich ver\u00f6ffentlicht. Um die Schwachstelle zu umgehen, reicht es aus, die Verarbeitung von Verbindungen \u00fcber das HTTP\/2-Protokoll in der Konfigurationsdatei httpd.conf mit der Direktive \u201eProtocols http\/1.1\u201c zu deaktivieren. <\/p>\n

Laut dem September-Bericht des Unternehmens Netcraft laufen etwa 170 Millionen Websites (11,56 %) unter Apache httpd. Welche davon HTTP\/2 verwenden, wird nicht mitgeteilt.
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d \u0440\u0435\u043b\u0438\u0437 HTTP-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 Apache 2.4.71, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2026-119618) \u0432 \u043c\u043e\u0434\u0443\u043b\u0435 mod_http2, \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0441\u0432\u043e\u0439 \u043a\u043e\u0434 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u043f\u0440\u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u043f\u043e \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0443 HTTP\/2. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0432\u0435\u0440\u0441\u0438\u0439 Apache httpd 2.4.55 \u0438 \u0442\u0430\u043a\u0436\u0435 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c mod_h2, \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u043c\u044b\u0439 \u0447\u0435\u0440\u0435\u0437 GitHub. \u0421\u0442\u0430\u0442\u0443\u0441 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":10,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-184237","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Schwachstelle in Apache httpd, ausgenutzt zur remote Code-Ausf\u00fchrung \u00fcber HTTP\/2 | ProHoster","description":"Die Ver\u00f6ffentlichung des HTTP-Servers Apache 2.4.71, in der eine Schwachstelle (CVE-2026-119618) im Modul mod_http2 mit kritischem Gef\u00e4hrdungsgrad behoben wurde, ist erfolgt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/apache-httpd-vulnerability-exploited-for-remote-code-execution-via-http-2","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Apache httpd, \u0437\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u0435\u043c\u0430\u044f \u0434\u043b\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 HTTP\/2 | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d \u0440\u0435\u043b\u0438\u0437 HTTP-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 Apache 2.4.71, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2026-119618) \u0432 \u043c\u043e\u0434\u0443\u043b\u0435 mod_http2, \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/apache-httpd-vulnerability-exploited-for-remote-code-execution-via-http-2","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-11-12T09:41:47+00:00","article:modified_time":"2026-11-12T09:41:52+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/184237","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=184237"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/184237\/revisions"}],"predecessor-version":[{"id":184238,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/184237\/revisions\/184238"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=184237"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=184237"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=184237"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}