Apache HTTP Server ile HTTP/2: mod_http2 içinde kritik açık uzaktan kod çalıştırmaya izin veriyor

Ne oldu

11 Kasım 2026'da Apache HTTP Server projesi CVE-2026-119618 kimliğini yayımladı ve 2.4.71 sürümünü yayımladı. Proje açığı kritik olarak değerlendiriyor. Açık, HTTP/2 modülü mod_http2 içinde, assign_headers() fonksiyonunda bulunuyor. Eş zamanlı çalışan isteklerde paylaşılan kaynaklar düzgün eşitlenmiyor. Projenin danışma metnine göre bu durum heap bozulmasına yol açabilir ve bu da uzaktan kod çalıştırmaya neden olabilir.

Red Hat açığa CVSS ölçeğinde 10 üzerinden 9,8 puan veriyor. Sunucuya erişebilen bir saldırganın kimlik doğrulamaya ihtiyaç duymadığını ve sunucu sürecinin tam denetimini ele geçirebileceğini belirtiyor. Red Hat ayrıca, mod_http2 etkin varsayılan yapılandırmaya karşı güvenilir bir istismar kodunun kamuya açık bir araştırmayla gösterildiğini söylüyor, ancak bu araştırmanın adını vermiyor. Güvenlik firması Wiz daha sonra kullanılabilir bir istismar kodu bulunmadığını ve herhangi bir saldırı bildirilmediğini açıkladı. Açık, CISA'nın istismar edilen açıklar kataloğunda yer almıyor ve incelediğimiz hiçbir kaynak saldırı bildirmiyor.

Sürüm 2.4.71 ayrıca iki diğer açığı da giderir:

• CVE-2026-106023 (önemli olarak derecelendirildi): mod_md içinde bir çökme.
• CVE-2026-109163 (düşük olarak derecelendirildi): mod_vhost_alias içinde bir baytlık yığın üzerine yazma.

Kimler etkileniyor

• HTTP/2 açıkken Apache HTTP Server 2.4.55 ile 2.4.70 arası. HTTP/2 yalnızca Protocols yönergesi h2 (TLS üzerinden HTTP/2) veya h2c (düz TCP üzerinden HTTP/2) içeriyorsa çalışır. Bu yönerge tüm sunucu için veya tek bir sanal sunucu için ayarlanabilir.
• Daha önceki HTTP/2 açığı CVE-2026-23918 için 2.4.67 kurmuş sunucular hâlâ etkilenir. Bu, 2.4.67 ile 2.4.70 arasındaki her sürüm için geçerlidir.
• Modülün bağımsız derlemeleri (GitHub'daki mod_h2), 2.0.8 ile 2.0.42 arası sürümler. Henüz düzeltilmiş bir mod_h2 sürümü yok ve projenin deposu arşivlenmiş durumda.

Bu sistemler etkilenmiyor:

• 2.4.55 öncesi Apache sürümleri.
• Hiçbir Protocols yönergesinde h2 veya h2c etkinleştirilmemiş sunucular.
• Savunmasız kodu içermeyen Red Hat Enterprise Linux 6, 7 ve 8.

Dağıtım paketlerinin durumu, 12 Kasım 2026 itibarıyla:

• RHEL 9: mod_http2-2.0.26-7.el9_9.1 ile düzeltildi (RHSA-2026:98981).
• RHEL 10: mod_http2-2.0.29-5.el10_3.1 ile düzeltildi (RHSA-2026:98978).
• RHEL EUS ve SAP sürümleri: düzeltmeler ayrı danışmalarda yayımlandı. Red Hat, RHEL 9 ve 10'da derlemeleri nedeniyle saldırının çok daha zor olduğunu belirterek açığı Kritik yerine Önemli olarak derecelendiriyor.
• Red Hat JBoss Core Services ve Red Hat Hardened Images: etkilenen olarak listelenmiş, henüz düzeltme yok.
• Debian: unstable (sid) sürümü apache2 2.4.71-1 ile düzeltildi. Debian'ın izleyicisi bookworm, trixie ve forky sürümlerini savunmasız olarak listeliyor, henüz düzeltilmiş paket yok.
• Amazon Linux 2, Amazon Linux 2023 ve Amazon Linux 2027 Preview: düzeltme bekleniyor.
• Ubuntu: henüz bir durum yayımlanmadı.

Kendi Apache derlemesini paketleyen barındırma panelleri ve diğer ürünler, derlemeleri bu sürüm aralığına giriyorsa ve HTTP/2 açıksa etkilenir. Durumları için satıcının danışmasını kontrol edin.

Şimdi ne yapmalısınız

1. apachectl -v veya httpd -v ile Apache sürümünüzü bulun. Ardından HTTP/2'nin açık olup olmadığını kontrol edin (bkz. sonraki bölüm).
2. Güncelleyin.
   • Kendi derlediğiniz veya resmi Apache: 2.4.71 sürümüne yükseltin.
   • RHEL 9 ve 10: güncellemeleri kurun, örneğin dnf update mod_http2 ile.
   • Diğer dağıtımlar: dağıtımınız yayımlar yayımlamaz düzeltilmiş apache2 veya httpd paketini kurun. Aşağıda bağlantılı satıcı danışmalarını kontrol edin.
3. Apache'yi tamamen yeniden başlatın, örneğin systemctl restart httpd veya systemctl restart apache2 ile. Tam yeniden başlatma, güncellenmiş modülün yüklendiğinden emin olmanızı sağlar. Ardından sitelerinizin yanıt verdiğini doğrulayın.
4. Henüz güncelleyemiyorsanız: Apache'nin danışması geçici bir çözüm sunmuyor. Wiz, her Protocols yönergesinden h2 ve h2c değerlerini kaldırıp Protocols http/1.1 bırakmayı öneriyor. Sunucu genelindeki ayarı ve her sanal sunucuyu kontrol edin. Ardından apachectl configtest ile yapılandırmayı test edin ve Apache'yi yeniden başlatın. İstemciler HTTP/1.1'e geri döner. Bu, bağımsız mod_h2 derlemelerini kullanan sunucular için şimdiye kadar tek korumadır.
5. Diğer sunucularınızı kontrol edin; ters vekil sunucular ve müşteriler için çalıştırdığınız sunucular dahil, Apache 2.4.55 veya sonrası çalıştırıyorsanız ve HTTP/2 açıksa.

Etkilenip etkilenmediğinizi nasıl kontrol edersiniz

• Sürüm: apachectl -v (veya httpd -v) komutunu çalıştırın. 2.4.55 ile 2.4.70 arası sürümler etkilenir. Dağıtım paketlerinde, dağıtımlar kendi sürüm numaralarını kullandığı için yukarıda listelenen düzeltilmiş paket sürümleriyle karşılaştırın.
• Modül yüklü mü: apachectl -M 2>/dev/null | grep http2 komutu mod_http2'nin yüklü olup olmadığını gösterir.
• HTTP/2 açık mı: grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null komutunu çalıştırın ve h2 veya h2c arayın. Yapılandırma dosyaları barındıran diğer dizinleri de ekleyin.
• Dışarıdan: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' komutu, site HTTP/2 üzerinden yanıt veriyorsa 2 yazdırır.

Hiçbir sunucunuzun bir Protocols yönergesinde h2 veya h2c yoksa, bu açık onları etkilemez. Yine de sürüm 2.4.71'i veya dağıtımınızın güncellemesini normal bakım sırasında kurun, çünkü diğer iki açığı da giderir.

Kaynaklar

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html