Apache HTTP Server met HTTP/2: kritieke fout in mod_http2 maakt externe codeuitvoering mogelijk

Wat er is gebeurd

Op 11 november 2026 heeft het Apache HTTP Server-project CVE-2026-119618 gepubliceerd en versie 2.4.71 uitgebracht. Het project beoordeelt de fout als kritiek. De fout zit in de HTTP/2-module mod_http2, in de functie assign_headers(). Gedeelde resources worden niet goed gesynchroniseerd wanneer verzoeken tegelijk worden verwerkt. Volgens het advies van het project leidt dit tot heap-corruptie die externe codeuitvoering mogelijk maakt.

Red Hat beoordeelt de fout met 9,8 van de 10 op de CVSS-schaal. Volgens Red Hat heeft een aanvaller die de server kan bereiken geen authenticatie nodig en kan hij volledige controle krijgen over het serverproces. Red Hat meldt ook dat openbaar onderzoek een betrouwbare exploit tegen een standaardconfiguratie met ingeschakelde mod_http2 heeft aangetoond, maar het noemt dat onderzoek niet bij name. Het beveiligingsbedrijf Wiz heeft later gemeld dat er geen exploit beschikbaar was en dat er geen aanvallen zijn gemeld. De kwetsbaarheid staat niet in de catalogus van actief misbruikte kwetsbaarheden van CISA, en geen van de bronnen die wij hebben gecontroleerd meldt aanvallen.

Versie 2.4.71 verhelpt ook twee andere fouten:

• CVE-2026-106023 (beoordeeld als belangrijk): een crash in mod_md.
• CVE-2026-109163 (beoordeeld als laag): een overschrijving van één byte op de stack in mod_vhost_alias.

Wie is getroffen

• Apache HTTP Server 2.4.55 t/m 2.4.70, maar alleen wanneer HTTP/2 is ingeschakeld. HTTP/2 werkt alleen waar de Protocols-instructie h2 (HTTP/2 over TLS) of h2c (HTTP/2 over onversleutelde TCP) bevat. Deze instructie kan voor de hele server of voor één virtuele host worden ingesteld.
• Servers die 2.4.67 hebben geïnstalleerd voor de eerdere HTTP/2-fout CVE-2026-23918, blijven getroffen. Dit geldt voor elke release van 2.4.67 t/m 2.4.70.
• Losse builds van de module (mod_h2 van GitHub), versies 2.0.8 t/m 2.0.42. Er is nog geen verholpen mod_h2-release, en de repository van het project is gearchiveerd.

Deze systemen zijn niet getroffen:

• Apache-versies vóór 2.4.55.
• Servers waarop in geen enkele Protocols-instructie h2 of h2c is ingeschakeld.
• Red Hat Enterprise Linux 6, 7 en 8, die de kwetsbare code niet bevatten.

Status van distributiepakketten, per 12 november 2026:

• RHEL 9: verholpen in mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: verholpen in mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• RHEL EUS- en SAP-releases: oplossingen zijn beschikbaar in afzonderlijke advisories. Red Hat beoordeelt de fout op RHEL 9 en 10 als Important in plaats van Critical, omdat de builds van Red Hat een aanval veel moeilijker maken.
• Red Hat JBoss Core Services en Red Hat Hardened Images: vermeld als getroffen, nog zonder oplossing.
• Debian: unstable (sid) is verholpen met apache2 2.4.71-1. De tracker van Debian vermeldt bookworm, trixie en forky als kwetsbaar, zonder verholpen pakket.
• Amazon Linux 2, Amazon Linux 2023 en Amazon Linux 2027 Preview: een oplossing is in behandeling.
• Ubuntu: er was nog geen status gepubliceerd.

Hostingpanelen en andere producten die een eigen Apache-build leveren, zijn getroffen als hun build binnen dit versiebereik valt en HTTP/2 is ingeschakeld. Raadpleeg voor hun status het advies van de leverancier.

Wat u nu moet doen

1. Controleer uw Apache-versie met apachectl -v of httpd -v. Controleer daarna of HTTP/2 is ingeschakeld (zie de volgende sectie).
2. Werk bij.
   • Zelf gebouwd of upstream Apache: upgrade naar 2.4.71.
   • RHEL 9 en 10: installeer de updates, bijvoorbeeld met dnf update mod_http2.
   • Andere distributies: installeer het verholpen pakket apache2 of `httpd* zodra uw distributie er een publiceert. Raadpleeg de hieronder genoemde adviezen van de leveranciers.
3. Start Apache volledig opnieuw, bijvoorbeeld met systemctl restart httpd of systemctl restart apache2. Een volledige herstart zorgt ervoor dat de bijgewerkte module wordt geladen. Controleer daarna of uw websites reageren.
4. Als u nog niet kunt bijwerken: het advies van Apache biedt geen tijdelijke oplossing. Wiz raadt aan h2 en h2c uit elke Protocols-instructie te verwijderen, zodat Protocols http/1.1 overblijft. Controleer de instelling voor de hele server en elke virtuele host. Test daarna de configuratie met apachectl configtest en start Apache opnieuw. Clients vallen dan terug op HTTP/1.1. Dit is tot nu toe ook de enige bescherming voor servers die de losse mod_h2-builds gebruiken.
5. Controleer uw andere servers, inclusief reverse proxies en servers die u voor klanten beheert, als zij Apache 2.4.55 of later met ingeschakeld HTTP/2 draaien.

Hoe u controleert of u getroffen bent

• Versie: voer apachectl -v uit (of httpd -v). Versies 2.4.55 t/m 2.4.70 zijn getroffen. Vergelijk bij distributiepakketten met de hierboven genoemde verholpen pakketversies, omdat distributies hun eigen versienummers gebruiken.
• Module geladen: apachectl -M 2>/dev/null | grep http2 laat zien of mod_http2 is geladen.
• HTTP/2 ingeschakeld: voer grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null uit en zoek naar h2 of h2c. Neem ook andere mappen met configuratiebestanden mee.
• Van buitenaf: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' geeft 2 als de site via HTTP/2 antwoordt.

Als geen van uw servers h2 of h2c in een Protocols-instructie heeft, heeft deze fout geen invloed op hen. Installeer toch versie 2.4.71 of de update van uw distributie tijdens het normale onderhoud, omdat deze ook de andere twee fouten verhelpt.

Bronnen

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html