# Apache schließt kritische HTTP/2-Lücke, die Remote Code Execution ermöglichen kann

Am 11. November 2026 hat Apache Version 2.4.71 seines HTTP Servers veröffentlicht. Sie behebt eine kritische Lücke in dem Modul, das HTTP/2-Verbindungen verarbeitet. Auf ungepatchten Servern mit den Versionen 2.4.55 bis 2.4.70 und aktiviertem HTTP/2 könnte ein Angreifer aus der Ferne Code ausführen.

- Seite: https://www.cognivise.co.uk/de/news/apache-http-2-luecke-cve-2026-119618-was-pruefen-sollten
- Original (Englisch): https://www.cognivise.co.uk/news/apache-http-2-flaw-cve-2026-119618-what-check
- Thema: Software betreiben
- Veröffentlicht: 2026-11-12
- Aktualisiert: 2026-11-12
- Autor: Cognivise
- Quelle: Wordfence (press), PSA: Critical Apache HTTP/2 Vulnerability: What WordPress Site Owners Should Know (https://www.wordfence.com/blog/2026/11/cve-2026-119618-apache-http2/)

## Das Wichtigste in Kürze

- Apache HTTP Server 2.4.71, veröffentlicht am 11. November 2026, behebt CVE-2026-119618, eine kritische HTTP/2-Lücke in den Versionen 2.4.55 bis 2.4.70.
- Gefährdet sind nur Apache-Server, die HTTP/2 über das betroffene Modul annehmen. Ein Update von WordPress oder seinen Plugins behebt die Lücke nicht.
- Lassen Sie sich von Ihrem Hoster oder Entwickler bestätigen, dass die Korrektur installiert und Apache neu gestartet wurde, oder lassen Sie HTTP/2 abschalten, bis ein korrigiertes Paket verfügbar ist.

## Was Apache in Version 2.4.71 behoben hat

Am 11. November 2026 hat Apache den HTTP Server 2.4.71 veröffentlicht und ein Advisory zu CVE-2026-119618 herausgegeben. Die Lücke steckt in mod_http2, dem Teil von Apache, der HTTP/2-Anfragen beantwortet. Apache stuft sie als kritisch ein. Betroffen sind laut einer Zusammenfassung, die [Wordfence](https://www.wordfence.com/blog/2026/11/cve-2026-119618-apache-http2/) am 12. November veröffentlicht hat, die Versionen 2.4.55 bis 2.4.70 sowie die eigenständigen mod_h2-Releases 2.0.8 bis 2.0.42.

Gemeldet wurde die Lücke am 26. Oktober von Anthropics OSS Scanner und unabhängig davon am 3. November von Forschern bei Google Cloud Vulnerability Research. Red Hat beschreibt sie als Remote Code Execution, die bei aktiviertem HTTP/2 keine Anmeldung erfordert. Ein Forscher hat Tests veröffentlicht, die Abstürze unter 2.4.70 zeigen. Wordfence fand jedoch keine öffentliche Demonstration einer Codeausführung, und Wiz meldete mit Stand 11. November keine bekannten Angriffe in freier Wildbahn.

## Welche Server gefährdet sind

Apache ist Webserver-Software, die vor vielen Websites sitzt, darunter auch WordPress-Seiten. Ein erfolgreicher Angriff könnte es jemandem erlauben, eigenen Code mit denselben Rechten wie der Webserver auszuführen und so auf die Websites und Daten auf diesem Rechner zuzugreifen.

Gefährdet sind nur Server, die HTTP/2 über das betroffene Modul annehmen. Apache nutzt HTTP/1.1, solange HTTP/2 nicht in der Konfiguration aktiviert ist. Eine Website, die Besuchern HTTP/2 anbietet, kann hinter einem CDN oder Load Balancer liegen, der mit Apache über HTTP/1.1 spricht. Entscheidend ist also, wie Apache selbst eingerichtet ist.

Ein Update von WordPress, Plugins, Themes oder einem Sicherheits-Plugin behebt das Problem nicht. Die Korrektur betrifft die Serversoftware, und die kontrolliert bei Shared oder Managed Hosting Ihr Hoster.

## Was Sie jetzt Ihren Hoster oder Entwickler fragen sollten

Die Details sind seit dem 11. November öffentlich. Behandeln Sie das daher als dringend, statt auf ein routinemäßiges Update zu warten.

- Bei Shared oder Managed Hosting fragen Sie Ihren Hoster, ob der Apache-Server hinter Ihrer Website HTTP/2 (h2 oder h2c) annimmt, ob die Korrektur für CVE-2026-119618 installiert ist und ob Apache danach neu gestartet wurde.
- Wenn Sie oder Ihr Entwickler den Server selbst betreiben, installieren Sie 2.4.71 oder das korrigierte Paket Ihres Anbieters und starten Sie Apache neu. Anbieter von Betriebssystemen, Control Panels und Containern liefern die Korrektur unter Umständen mit einer anderen Versionsnummer aus. Richten Sie sich daher nach deren Advisory und nicht allein nach der Nummer.
- Wenn noch keine Korrektur verfügbar ist, lassen Sie HTTP/2 in Apache abschalten, bis es so weit ist, und danach wieder einschalten. Laut Red Hat ist ein Server, der nur HTTP/1.1-Verkehr verarbeitet, von dieser Lücke nicht betroffen.
- Stellen Sie sicher, dass Sie ein aktuelles Backup sowohl der Dateien als auch der Datenbank der Website haben. Es verhindert keinen Angriff, erleichtert aber die Wiederherstellung.

Wenn Sie nicht sicher sind, wer Serverkorrekturen einspielen soll, prüfen Sie Ihren [Wartungsvertrag für Software](https://www.cognivise.co.uk/blog/software-maintenance-contract-guide), bevor die nächste Lücke dieser Art auftaucht. Cognivise bietet [Laufenden Support und Wartung](https://www.cognivise.co.uk/de/leistungen/support-und-wartung) für Unternehmen, in denen niemand klar für die Server zuständig ist.

## Weiterlesen

- [Laufender Support und Wartung](https://www.cognivise.co.uk/de/leistungen/support-und-wartung)
- [Wartungsverträge für Software: was ein fairer Vertrag enthält](https://www.cognivise.co.uk/blog/software-maintenance-contract-guide)
- [Was sollte Software-Support nach dem Launch abdecken?](https://www.cognivise.co.uk/blog/what-application-support-covers)