Apache HTTP/2 açığı CVE-2026-119618: ne yapmalısınız?

01Ne oldu?

Apache bir web sunucusu yazılımıdır. [11.11.2026 tarihli Apache güvenlik duyurusu](https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2026-119618), CVE-2026-119618 açığını kritik olarak tanımlıyor; 2.4.71 sürümü bu açığı gideriyor. Eş zamanlı isteklerde `mod_http2` modülü belleği bozabilir. Bu da uzaktan kod çalıştırmayı, kısaca RCE’yi, potansiyel olarak mümkün kılar.

[Red Hat, 11.11.2026 tarihinde](https://access.redhat.com/security/cve/cve-2026-119618) CVSS v3.1 kapsamında 9,8 puan veriyor. Araştırmada bu sayısal değerlendirme yalnızca Red Hat için doğrulanmıştır. Bu, Apache veya NVD tarafından verilmiş ayrı bir sayısal değeri kanıtlamaz.

Daha eski olan CVE-2026-93546, `mod_dav_fs` modülündeki WebDAV ile ilgilidir ve 01.10.2026 tarihinde yayımlanmıştır. Kimliği doğrulanmış yazma erişimleri, süreçlerin çökmesine ve WebDAV özellik veritabanının bozulmasına yol açabilir. Bu ayrı açık, [WebDAV ile ilgili Apache CVE kaydında](https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/93xxx/CVE-2026-93546.json) açıklanıyor.

02Gerçekte ne kadar tehlikeli?

Red Hat’e göre oturum açma ve kullanıcı etkileşimi olmadan ağ üzerinden saldırı mümkündür. Bunun için güvenlik açığı bulunan modül kodunun erişilebilir olması ve `h2` veya `h2c` protokolünün etkin olması gerekir: bunlar sırasıyla aktarım şifrelemesi olan ve olmayan HTTP/2’dir. Kod çalıştırmanın başarılı olup olmayacağı bellek yönetimine de bağlıdır. Belirli bir kurulumda RCE’nin gerçekleşeceği garanti değildir.

12.11.2026 itibarıyla incelenen kaynaklarda gerçek ortamda gerçekleşen saldırılara ilişkin birincil kaynaklardan güvenilir bir doğrulama bulunmuyor. Bu, saldırıların olmadığını kanıtlamaz. Araştırmada saldırı girişimlerine ilişkin güvenilir sayısal veriler de bulunmuyor.

Herkese açık istismar kodu konusunda bir çelişki sürüyor: [Red Hat](https://access.redhat.com/security/cve/cve-2026-119618), modülün etkin olduğu standart bir yapılandırmada güvenilir biçimde çalışan istismar kodu içeren, kamuya açık bir araştırmadan söz ediyor; ancak somut bir kanıta bağlantı vermiyor. [Wiz](https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability), 11.11.2026 tarihli yazısında yayın sırasında istismar kodunun mevcut olmadığını belirtiyor. Araştırmada çalışan, herkese açık bir kavram kanıtı, kısaca PoC, doğrulanmadı. Bir araştırma gösterimi tek başına bir web sitesine izinsiz girildiğini kanıtlamaz.

03Hangi sürümler açığı gideriyor?

Aşağıdaki düzeltme bilgileri yalnızca bu CVE için geçerlidir. Üreticiler düzeltmeleri daha eski paket sürümlerine aktarabilir; buna backport denir. Belirleyici olan tam paket/derleme tanımlayıcısı ve ilgili güvenlik duyurusudur. Ayrı olarak kurulmuş bir HTTP/2 modülü de kontrole dahil edilmelidir.

• Apache upstream: değiştirilmemiş özgün sürümlerden 2.4.55 ile 2.4.70 arasındakiler, bu sürümler dahil, etkilenmektedir; 2.4.71 düzeltmeyi içerir. Ayrı `mod_h2` 2.0.8–2.0.42 de etkilenmektedir. Kaynak: [11.11.2026 tarihli sürüm notları](https://downloads.apache.org/httpd/CHANGES_2.4.71). Araştırma tarihi itibarıyla [modül sürümleri](https://api.github.com/repos/icing/mod_h2/releases?per_page=3) arasında düzeltilmiş bağımsız bir modül sürümü doğrulanmadı.
• RHEL 9: `mod_http2-2.0.26-7.el9_9.1` paketinin düzeltilmiş olduğu [11.11.2026 tarihli RHSA-2026:98981](https://access.redhat.com/errata/RHSA-2026:98981) kapsamında doğrulanmıştır. Bu eşleştirme belirtilen ürün için geçerlidir; ayrı bir kanıt olmadan AlmaLinux veya Rocky Linux için geçerli sayılamaz.
• Debian: 12.11.2026 tarihinde erişilen [Security Tracker](https://security-tracker.debian.org/tracker/CVE-2026-119618), `apache2 2.4.71-1` içeren sid sürümünü düzeltilmiş olarak listeliyor. bookworm, trixie ve forky burada güvenlik açığı bulunan sürümler olarak işaretlenmişti. Bu anlık durum kaydı, kullanılan paket için güncel bir doğrulamanın yerini tutmaz.
• Plesk/cPanel ve Shared Hosting: genel olarak güvenli kabul edilebilecek bir panel sürümü doğrulanmamıştır. [11.11.2026 tarihli EasyApache değişiklik günlüğü](https://docs.cpanel.net/changelogs/easyapache-4-change-log-25/), 25.95 altında `ea-apache24 2.4.70` paketini belirtiyor; burada bu CVE’ye özel bir düzeltme doğrulanmadı. Bu durumdan bir hosting sağlayıcısının yama durumu hakkında genel bir hüküm çıkarılamaz. Gerçekte kullanılan paketleri ve varsa backport düzeltmelerini sorun.

04Web sitenizin etkilenip etkilenmediğini nasıl kontrol edebilirsiniz?

Görülebilen bilgiler ipuçları sağlar. Etkilenme durumunu belirlemek için işletmecinin paketlere ve yapılandırmaya erişmesi gerekir.

• WordPress: Araçlar → Site Sağlığı → Bilgi → Sunucu bölümünde, mevcutsa sunucu bilgileri yer alır. [Web sunucusu alanı](https://developer.wordpress.org/reference/classes/wp_debug_data/get_wp_server/), backport düzeltmelerini, modül sürümlerini veya aradaki tüm sunucuları kontrol etmez. Site Sağlığı durumunun yeşil olması, bu CVE’ye karşı korumayı doğrulamaz.
• Tarayıcı: geliştirici araçlarını açın, [Network/Ağ](https://developer.chrome.com/docs/devtools/network/reference/) bölümüne gidin ve Protocol/Protokol sütununu görüntüleyin. Belge isteğindeki `h2`, bu bağlantıda HTTP/2 kullanıldığını gösterir. Arada bir hizmet (CDN) varsa önce o hizmete olan bağlantıyı görürsünüz. Gösterilen bilgi Apache sürümünü açıklamaz; farklı bir protokol değeri de arka tarafta HTTP/2 kullanılmadığını kanıtlamaz.
• Plesk/cPanel: [Plesk](https://docs.plesk.com/en-US/obsidian/administrator-guide/web-servers/apache-and-nginx-web-servers-linux/plesk-for-linux-http2-support-in-plesk.76461/) üzerinde görünen HTTP/2 bağlantısı nginx’e ait olabilir. [cPanel](https://docs.cpanel.net/ea4/apache/apache-modules/apache-module-http2/) üzerinde yönetici, modülü WHM → Software → EasyApache yoluyla yönetir. Panel adı ve TLS sertifikası yama durumunu kanıtlamaz. Yönetim yetkileriniz yoksa kontrolü hosting sağlayıcısı yapar.
• SSH: teknik destek ekibiniz `apachectl -v` ile sürümü, `apachectl -M` ile modülleri kontrol edebilir; kuruluma bağlı olarak programın adı farklı olabilir. Çıktılar ne backport düzeltmelerini ne de çalışan süreçlerin güncellendiğini kanıtlar. Ayrıca tam paket tanımlayıcıları ve etkin protokol yapılandırması gerekir.

05Hosting sağlayıcınıza ne yazmalısınız?

Bu metni kopyalayın ve alan adınızı ekleyin:

“Merhaba, lütfen [DOMAIN] alan adımı CVE-2026-119618 açısından kontrol edin. İstekleri hangi web sunucuları ve aracı hizmetler işliyor? Lütfen işletim sistemi sürümünü ve paket kaynağını, ayrıca Apache ile HTTP/2 modülünün tam paket/derleme tanımlayıcılarını belirtin. Açık giderildi mi? Lütfen ilgili üretici güvenlik duyurusunu gönderin. `mod_http2` belleğe yüklenmiş mi ve aracı hizmetlerin arkasında veya doğrudan erişimde de dahil olmak üzere `h2` ya da `h2c` nerede etkin? Güncellemeden sonra, eski süreçler çalışmaya devam etmeden tüm Apache örneklerinin tamamen yeniden başlatıldığını lütfen doğrulayın. Yama henüz uygulanmadıysa: hangi doğrulanmış geçici önlem uygulanıyor ve güncelleme ne zaman yapılacak? Teşekkür ederim.”

[Apache belgelerine](https://httpd.apache.org/docs/2.4/stopping.html) dayanarak işletim açısından tam yeniden başlatmayı öneriyoruz. “graceful” yeniden başlatmada mevcut istekler başlangıçta çalışmaya devam eder. Bu talep, CVE güvenlik duyurusundan alıntılanmış özel bir gereklilik değildir. “Her şey güncel” gibi bir yanıtta somut kanıtlar eksiktir.

06Güncelleme hemen yapılamıyorsa ne yapmalısınız?

Tercih edilen çözüm yamadır. Geçici bir teknik önlem olarak [Wiz](https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability), `h2` ve `h2c` protokollerinin devre dışı bırakılmasını öneriyor. İşletmeci yapılandırmayı kontrol etmeli ve etkilenen tüm web siteleri ile doğrudan sunucu erişimleri için devre dışı bırakmayı doğrulamalıdır. Apache, incelenen güvenlik duyurusunda kendisine ait bir geçici çözüm belirtmiyor.

Bu değişiklik sunucu yapılandırmasında yapılmalıdır. Tek tek web sitelerinin yapılandırmaları genel protokol ayarlarını geçersiz kılabilir; `.htaccess` bunun için tasarlanmamıştır. HTTPS etkin kalmalıdır: şifrelenmemiş HTTP/2 de vardır ve aktarım şifrelemesini kapatmak sorunun nedenini ortadan kaldırmaz.

Web Uygulaması Güvenlik Duvarı (Web Application Firewall, WAF) veya Cloudflare genel bir koruma garantisi sunmaz. [Cloudflare, kaynak sunucuya bağlantıda da HTTP/2’yi destekler](https://developers.cloudflare.com/speed/optimization/protocol/http2-to-origin/). Bu CVE’ye özel bir WAF koruması doğrulanmadı. Gerçek bağlantı yolunu ve doğrudan sunucu erişimlerini kontrol ettirin.

Ne yama uygulamak ne de protokolün doğrulanmış biçimde devre dışı bırakılması mümkünse, işletim açısından son seçenek olarak güvenlik açığı bulunan hizmete ağ erişiminin kısıtlanmasını veya hizmetin geçici olarak devre dışı bırakılmasını öneriyoruz. WordPress bakım sayfası, sunucunun HTTP isteklerini işlemesini durdurmaz.

07Apache HTTP/2 açığı hakkında sık sorulan sorular