Apache HTTP Server'da kritik mod_http2 açığı CVE-2026-119618, 2.4.71 ile kapatıldı
Apache, HTTP/2 açık sunucularda kimlik doğrulamasız uzaktan kod çalıştırmaya yol açabilen CVE-2026-119618'i 2.4.71 sürümüyle düzeltti. 2.4.55–2.4.70 arası etkileniyor; Red Hat CVSS 9.8 veriyor, sahada istismar bildirilmedi.
CVE-2026-119618, CVE-2026-106023, CVE-2026-109163
Apache Software Foundation, 11 Kasım'da yayımladığı Apache HTTP Server 2.4.71 ile mod_http2 modülündeki kritik bir açığı kapattı. CVE-2026-119618 olarak izlenen açık, assign_headers() fonksiyonundaki bir senkronizasyon hatası: bir thread'in başka bir thread'e ait belleği değiştirmesine ve heap bozulmasına yol açıyor. Proje açığı "kritik" olarak sınıflandırıyor ve sonucunun RCE olabileceğini belirtiyor. Açığı Anthropic'in OSS Scanner hizmeti (26 Ekim) ve Google Cloud Vulnerability Research ekibinden Anthony Weems ile Simon Scannell (3 Kasım) ayrı ayrı bildirdi.
Red Hat açığa CVSS 9.8 veriyor ve yalnızca HTTP/2 etkin sunucuların etkilendiğini, saldırganın kimlik doğrulamasına ihtiyaç duymadığını yazıyor. Red Hat'e göre kamuya açık bir araştırma, varsayılan yapılandırmada mod_http2 etkin bir sunucuya karşı güvenilir bir exploit gösterdi; ancak bu araştırma adlandırılmadı. Wiz ise yayımlanmış exploit ve sahada istismar bildirimi olmadığını söylüyor. Açık 12 Kasım itibarıyla CISA KEV kataloğunda değil. Aynı sürüm mod_md'deki bir NULL pointer dereference hatasını (CVE-2026-106023, important) ve mod_vhost_alias'taki bir byte'lık stack taşmasını (CVE-2026-109163, low) da düzeltiyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Apache HTTP Server | 2.4.55 – 2.4.70 | 2.4.71 |
| mod_h2 (GitHub, ayrı modül) | 2.0.8 – 2.0.42 | Düzeltilmiş sürüm yok (depo arşivlendi) |
| RHEL 9 | mod_http2 paketi | RHSA-2026:98981 (mod_http2-2.0.26-7.el9_9.1) |
| RHEL 10 | mod_http2 paketi | RHSA-2026:98978 (mod_http2-2.0.29-5.el10_3.1) |
| RHEL 6, 7, 8 | Etkilenmiyor | — |
| Debian, Ubuntu, Amazon Linux | Üretici bildirimindeki liste | Üretici bildirimindeki liste |
Red Hat, RHEL 9 ve 10'da her HTTP/2 stream'inin ayrı bellek ayırıcı kullanması nedeniyle istismarın zorlaştığını belirterek bu paketleri "important" olarak derecelendiriyor. Debian'da 12 Kasım itibarıyla yalnızca sid'de düzeltme vardı; dağıtımınızın güvenlik takip sayfasını kontrol edin.
Beni etkiliyor mu?
Sürümü salt okunur sorgulamak için:
apachectl -v
httpd -v
rpm -q httpd mod_http2
dpkg -l apache2HTTP/2'nin açık olup olmadığını görmek için Protocols yönergesinde h2 veya h2c geçip geçmediğine bakın; yönerge hem sunucu genelinde hem de her virtual host içinde tanımlanabilir:
grep -ri "Protocols" /etc/httpd/
grep -ri "Protocols" /etc/apache2/Sürüm 2.4.55–2.4.70 aralığındaysa ve h2/h2c etkinse sunucu etkileniyor demektir. Yalnızca HTTP/1.1 sunan sunucular etkilenmiyor.
Ne yapılmalı?
- Apache HTTP Server'ı 2.4.71'e ya da dağıtımınızın düzeltilmiş paketine yükseltin; internete açık reverse proxy ve web sunucularından başlayın.
- Hemen yükseltemiyorsanız Wiz'in önerdiği geçici önlem,
Protocolsyönergesindenh2veh2c'yi çıkarıp yalnızcahttp/1.1bırakmak. Bu değişiklik istemci performansını etkileyebilir; change kaydıyla ve bakım penceresinde yapın. - Ayrı derlenmiş
mod_h2kullananlar için düzeltilmiş sürüm yok; bu kurulumlarda HTTP/2'yi kapatmak tek yol. - Apache'yi gömülü taşıyan ürünleri (yük dengeleyici, uygulama sunucusu, appliance) envanterleyin ve üreticilerinin bildirimini bekleyin.
- Sahada istismar henüz bildirilmedi; ancak Red Hat'in exploit notu nedeniyle web sunucusu süreçlerinden doğan beklenmedik alt süreçleri ve çökme (segfault) kayıtlarını izlemeye alın.
