# Apache-HTTP/2-Lücke CVE-2026-119618: Was tun?

> CVE-2026-119618 kann Codeausführung in Apache ermöglichen. So klären Sie Betroffenheit, sichere Paketstände und nächste Schritte mit Ihrem Hoster.

- Quelle: https://bezahlbare-webseite.de/ratgeber/apache-http2-rce-was-tun/
- Datum: 2026-11-12
- Sprache: de
- Thema: Technik & Sicherheit

Seit dem 11. November 2026 ist eine kritische Lücke in Apaches HTTP/2-Modul öffentlich. CVE-2026-119618 kann die Ausführung fremden Programmcodes auf dem Server ermöglichen. Auch WordPress-Seiten, Shops und statische Firmenwebsites können auf betroffenen Servern liegen. Bitten Sie Ihren Hoster heute um Prüfung. Ein aktuelles CMS allein beantwortet die Frage nach dem Serverpatch nicht. Recherchestand: 12.11.2026.

## Was ist passiert?

Apache ist Webserver-Software. Die [Apache-Sicherheitsmeldung vom 11.11.2026](https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2026-119618) beschreibt CVE-2026-119618 als kritisch; Version 2.4.71 behebt sie. Bei parallelen Anfragen kann das Modul `mod_http2` Arbeitsspeicher beschädigen. Dadurch ist entfernte Codeausführung, kurz RCE, potenziell möglich.

[Red Hat vergibt am 11.11.2026](https://access.redhat.com/security/cve/cve-2026-119618) 9,8 Punkte nach CVSS v3.1. Diese numerische Bewertung ist in der Recherche ausschließlich für Red Hat belegt. Ein eigener Apache- oder NVD-Zahlenwert ist damit nicht nachgewiesen.

Die ältere CVE-2026-93546 betrifft WebDAV im Modul `mod_dav_fs`, veröffentlicht am 01.10.2026. Authentifizierte Schreibzugriffe können dabei Prozessabstürze und Beschädigungen der WebDAV-Eigenschaftsdatenbank auslösen. Diese getrennte Lücke beschreibt der [Apache-CVE-Datensatz zu WebDAV](https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/93xxx/CVE-2026-93546.json).

## Wie gefährlich ist das wirklich?

Laut Red Hat ist ein Netzwerkangriff ohne Anmeldung und Benutzerinteraktion möglich. Er setzt erreichbaren verwundbaren Modulcode und aktiviertes `h2` oder `h2c` voraus: HTTP/2 mit beziehungsweise ohne Transportverschlüsselung. Ob Codeausführung gelingt, hängt auch von der Speicherverwaltung ab. RCE ist bei einer konkreten Installation nicht garantiert.

Zum Stand 12.11.2026 enthalten die ausgewerteten Quellen keine belastbare Primärbestätigung für Angriffe in freier Wildbahn. Das beweist keine Abwesenheit von Angriffen. Auch belastbare Zahlen zu Angriffsversuchen liegen in der Recherche nicht vor.

Beim öffentlichen Exploit bleibt ein Widerspruch: [Red Hat](https://access.redhat.com/security/cve/cve-2026-119618) berichtet von öffentlicher Forschung mit zuverlässigem Exploit in einer Standardkonfiguration mit aktiviertem Modul, verlinkt aber keinen konkreten Nachweis. [Wiz](https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability) schreibt am 11.11.2026, bei Veröffentlichung sei kein Exploit verfügbar gewesen. Ein funktionsfähiger öffentlicher Machbarkeitsnachweis, kurz PoC, wurde in der Recherche nicht verifiziert. Ein Forschungsnachweis belegt noch keinen Einbruch bei einer Website.

## Welche Versionen beheben die Lücke?

Die folgenden Fixangaben gelten ausschließlich für diese CVE. Hersteller können Korrekturen in ältere Paketversionen zurückübertragen; das heißt Backport. Entscheidend sind die vollständige Paket-/Buildkennung und die zugehörige Sicherheitsmeldung. Ein separat installiertes HTTP/2-Modul muss einbezogen werden.

- Apache-Upstream: Unveränderte Originalversionen 2.4.55 bis einschließlich 2.4.70 sind betroffen; 2.4.71 enthält den Fix. Auch separates `mod_h2` 2.0.8–2.0.42 ist betroffen. Quelle: [Releasehinweise vom 11.11.2026](https://downloads.apache.org/httpd/CHANGES_2.4.71). Eine korrigierte eigenständige Modulversion wurde in den [Modulreleases](https://api.github.com/repos/icing/mod_h2/releases?per_page=3) zum Recherchestand nicht verifiziert.
- RHEL 9: `mod_http2-2.0.26-7.el9_9.1` ist unter [RHSA-2026:98981 vom 11.11.2026](https://access.redhat.com/errata/RHSA-2026:98981) als korrigiert nachgewiesen. Diese Zuordnung gilt für das genannte Produkt; sie lässt sich ohne eigenen Nachweis nicht auf AlmaLinux oder Rocky Linux übertragen.
- Debian: Der [Security-Tracker](https://security-tracker.debian.org/tracker/CVE-2026-119618), abgerufen am 12.11.2026, führt sid mit `apache2 2.4.71-1` als korrigiert. bookworm, trixie und forky waren dort als verwundbar markiert. Diese Momentaufnahme ersetzt keine aktuelle Bestätigung für das eingesetzte Paket.
- Plesk/cPanel und Shared Hosting: Eine pauschale sichere Panelversion ist nicht belegt. Der [EasyApache-Changelog vom 11.11.2026](https://docs.cpanel.net/changelogs/easyapache-4-change-log-25/) nennt unter 25.95 `ea-apache24 2.4.70`; ein spezifischer Fix dieser CVE wurde dort nicht verifiziert. Daraus folgt kein pauschales Urteil über den Patchstand eines Hosters. Erfragen Sie die tatsächlich eingesetzten Pakete und etwaige Backports.

## Wie prüfe ich, ob meine Website betroffen ist?

Sichtbare Angaben liefern Hinweise. Für die Zuordnung braucht der Betreiber Zugriff auf Pakete und Konfiguration.

- WordPress: Unter Werkzeuge → Website-Zustand → Bericht/Info → Server stehen Serverinformationen, sofern verfügbar. Das [Webserverfeld](https://developer.wordpress.org/reference/classes/wp_debug_data/get_wp_server/) prüft weder Backports noch Modulstände oder sämtliche vorgeschalteten Server. Ein grüner Website-Zustand bestätigt keinen Schutz vor dieser CVE.
- Browser: Öffnen Sie die Entwicklerwerkzeuge, dort [Network/Netzwerk](https://developer.chrome.com/docs/devtools/network/reference/), und blenden Sie Protocol/Protokoll ein. `h2` bei der Dokumentanfrage zeigt HTTP/2 dieser Verbindung. Bei einem vorgeschalteten Dienst (CDN) sehen Sie zunächst die Verbindung dorthin. Die Anzeige verrät keine Apache-Version; auch ein anderer Protokollwert schließt HTTP/2 dahinter nicht aus.
- Plesk/cPanel: Bei [Plesk](https://docs.plesk.com/en-US/obsidian/administrator-guide/web-servers/apache-and-nginx-web-servers-linux/plesk-for-linux-http2-support-in-plesk.76461/) kann die sichtbare HTTP/2-Verbindung zu nginx gehören. Bei [cPanel](https://docs.cpanel.net/ea4/apache/apache-modules/apache-module-http2/) verwaltet der Administrator das Modul über WHM → Software → EasyApache. Panelname und TLS-Zertifikat belegen keinen Patchstand. Ohne Verwaltungsrechte übernimmt der Hoster die Prüfung.
- SSH: Die technische Betreuung kann mit `apachectl -v` die Version und mit `apachectl -M` die Module prüfen; je nach Installation heißt das Programm anders. Die Ausgaben beweisen weder Backports noch aktualisierte laufende Prozesse. Zusätzlich sind vollständige Paketkennungen und die aktive Protokollkonfiguration erforderlich.

## Was muss ich meinem Hoster schreiben?

Kopieren Sie diesen Text und ergänzen Sie Ihre Domain:

„Guten Tag, bitte prüfen Sie meine Domain [DOMAIN] auf CVE-2026-119618. Welche Webserver und vorgeschalteten Dienste verarbeiten die Anfragen? Bitte nennen Sie Betriebssystemausgabe und Paketquelle sowie die vollständigen Paket-/Buildkennungen von Apache und seinem HTTP/2-Modul. Ist die Lücke behoben? Bitte senden Sie die passende Hersteller-Sicherheitsmeldung. Ist `mod_http2` geladen, und wo sind `h2` oder `h2c` aktiv, auch hinter vorgeschalteten Diensten oder bei direktem Zugriff? Bitte bestätigen Sie nach dem Update den vollständigen Neustart aller Apache-Instanzen ohne weiterlaufende alte Prozesse. Falls der Patch aussteht: Welche geprüfte Übergangsmaßnahme gilt, und wann folgt das Update? Vielen Dank.“

Den vollständigen Neustart empfehlen wir betrieblich auf Grundlage der [Apache-Dokumentation](https://httpd.apache.org/docs/2.4/stopping.html). Bei einem „graceful“-Neustart laufen bestehende Anfragen zunächst weiter. Die Bitte ist keine aus dem CVE-Advisory zitierte Sondervorschrift. Bei einer Antwort wie „alles aktuell“ fehlen die konkreten Nachweise.

## Was tun, wenn das Update nicht sofort geht?

Der Patch ist die bevorzugte Lösung. Als technische Übergangsmaßnahme empfiehlt [Wiz](https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability), `h2` und `h2c` zu deaktivieren. Der Betreiber muss die Konfiguration prüfen und die Abschaltung für alle betroffenen Websites und direkten Serverzugänge bestätigen. Apache nennt im ausgewerteten Advisory keinen eigenen Workaround.

Diese Änderung gehört in die Serverkonfiguration. Einzelne Website-Konfigurationen können globale Protokolleinstellungen überschreiben; `.htaccess` ist dafür nicht vorgesehen. HTTPS muss eingeschaltet bleiben: Auch unverschlüsseltes HTTP/2 existiert, die Abschaltung der Transportverschlüsselung beseitigt die Ursache nicht.

Eine Web Application Firewall (WAF) oder Cloudflare bietet keine pauschale Schutzgarantie. [Cloudflare unterstützt HTTP/2 auch zum Ursprungsserver](https://developers.cloudflare.com/speed/optimization/protocol/http2-to-origin/). Ein spezifischer WAF-Schutz gegen diese CVE wurde nicht verifiziert. Lassen Sie den tatsächlichen Verbindungsweg und direkte Serverzugänge prüfen.

Falls weder Patch noch überprüfte Protokollabschaltung möglich sind, empfehlen wir als letzte betriebliche Option, den Netzwerkzugriff auf den verwundbaren Dienst zu beschränken oder ihn vorübergehend außer Betrieb zu nehmen. Eine WordPress-Wartungsseite beendet die HTTP-Verarbeitung des Servers nicht.

## Häufige Fragen zur Apache-HTTP/2-Lücke

### WordPress und Plugins aktuell – reicht das?

Nein. Die Lücke sitzt im Apache-Modul. CMS-Updates beheben diesen Fehler nicht. Lassen Sie zusätzlich den Serverpatch bestätigen.

### Cloudflare – bin ich geschützt?

Das lässt sich daraus allein nicht ableiten. Entscheidend sind das Protokoll zum Ursprungsserver und dessen direkte Erreichbarkeit. Lassen Sie die Konfiguration und den Apache-Patchstand prüfen.

### Statische Website – betrifft mich das?

Auch eine statische Website kann auf betroffenem Apache laufen. Ein CMS oder PHP ist dafür keine Voraussetzung. Die konkrete Betroffenheit muss der Betreiber prüfen.

### Browser zeigt HTTP/2 – bin ich verwundbar?

Die Anzeige belegt nur das Protokoll dieser Verbindung. Sie verrät weder den Server hinter einem CDN noch dessen Paketstand. Fragen Sie Ihren Hoster.

### Apache-Version kleiner 2.4.71 – automatisch verwundbar?

Nein. Ein Hersteller-Backport kann die Lücke bei älterer Versionsanzeige beheben. Verlangen Sie die vollständige Paket-/Buildkennung samt Sicherheitsmeldung. Auch Modulcode und aktive Protokolle entscheiden über den Angriffspfad.

### Wurde die Lücke bereits ausgenutzt?

Zum Recherchestand 12.11.2026 fehlt eine belastbare Primärbestätigung für Angriffe in freier Wildbahn. Die widersprüchlichen Angaben zum öffentlichen Exploit belegen keine solchen Angriffe.

---
Veröffentlicht von bezahlbare-webseite.de — Website im Abo ab 79 €/Monat. https://bezahlbare-webseite.de/