- Home
- Lösungen
Alles OKBlured – Sicher zum Wachstum.Ihr Managed Service Provider aus Düsseldorf: Wir betreuen IT, Cloud, Microsoft 365 und Cyber Security – verständlich und persönlich.
Managed ServicesCloud & M365NIS2-readyMehr erfahren - Branchen
Alles OKBlured – Sicher zum Wachstum.Ihr Managed Service Provider aus Düsseldorf: Wir betreuen IT, Cloud, Microsoft 365 und Cyber Security – verständlich und persönlich.
Managed ServicesCloud & M365NIS2-readyMehr erfahren - Unternehmen
Alles OKBlured – Sicher zum Wachstum.Ihr Managed Service Provider aus Düsseldorf: Wir betreuen IT, Cloud, Microsoft 365 und Cyber Security – verständlich und persönlich.
Managed ServicesCloud & M365NIS2-readyMehr erfahren - Wissen
Alles OKBlured – Sicher zum Wachstum.
Ihr Managed Service Provider aus Düsseldorf: Wir betreuen IT, Cloud, Microsoft 365 und Cyber Security – verständlich und persönlich.
Managed ServicesCloud & M365NIS2-readyMehr erfahren
Security Alert · Schwachstelle
Apache HTTP Server 2.4.71 schließt kritische HTTP/2-Lücke (CVE-2026-119618)
- Risikostufe
- Mittel
- Kategorie
- Schwachstelle
- Betroffene Systeme
- Apache HTTP Server 2.4.55 bis 2.4.70 mit mod_http2 (CVE-2026-119618)
separates Modul mod_h2 2.0.8 bis 2.0.42
Apache HTTP Server 2.4.30 bis 2.4.70 mit mod_md (CVE-2026-106023, wichtig)
Apache HTTP Server 2.4.69 und 2.4.70 mit mod_vhost_alias (CVE-2026-109163, niedrig) - Abhilfe verfügbar
- Auf Apache HTTP Server 2.4.71 bzw. auf den entsprechenden Stand der eigenen Paketquelle aktualisieren
- Quelle
- Apache HTTP Server 2.4 vulnerabilities (Fixed in 2.4.71), Apache HTTP Server, CVE-Datensatz CVE-2026-119618 (CNA Apache), CISA Known Exploited Vulnerabilities Catalog (JSON
Was ist passiert?
Das Apache-Projekt hat am 11.11.2026 die Version 2.4.71 des HTTP-Servers veröffentlicht. Das Update schließt drei Lücken: eine kritische, eine wichtige und eine niedrige.
Die kritische Lücke CVE-2026-119618 betrifft das Modul mod_http2. Ein Fehler bei der gleichzeitigen Verarbeitung gemeinsamer Ressourcen in der Funktion assign_headers kann den Speicher beschädigen und zu Codeausführung (RCE) führen. Dieselbe Lücke betrifft auch die separat auf GitHub angebotenen mod_h2-Stände 2.0.8 bis 2.0.42. Zusätzlich behebt 2.4.71 CVE-2026-106023 (wichtig): einen NULL-Zeiger in mod_md, der zum Absturz eines Kindprozesses führen kann (betroffen 2.4.30 bis 2.4.70), und CVE-2026-109163 (niedrig): eine 1-Byte-Pufferüberschreibung in mod_vhost_alias in den Ständen 2.4.69 und 2.4.70.
In der CISA-KEV (Katalogversion 2026.11.10) ist CVE-2026-119618 nicht enthalten. Eine offizielle Meldung über aktive Ausnutzung wurde nicht gefunden.
Wer ist betroffen?
Betreiber von Apache HTTP Server 2.4.55 bis 2.4.70, bei denen das HTTP/2-Modul zum Einsatz kommt, sowie Nutzer von mod_h2 2.0.8 bis 2.0.42. Die beiden weiteren, in 2.4.71 geschlossenen Lücken haben abweichende Versionsstände (mod_md ab 2.4.30, mod_vhost_alias nur 2.4.69 und 2.4.70).
Wie hoch ist das Risiko?
Mittel. Apache stuft die HTTP/2-Lücke als kritisch ein, weil sie zu Codeausführung führen kann. Es liegt keine offizielle Ausnutzungsmeldung vor, und die Lücke ist in der KEV (Stand 10.11.2026) nicht enthalten.
So schützen Sie sich
- Apache HTTP Server auf Version 2.4.71 aktualisieren bzw. den Korrekturstand der eingesetzten Linux-Distribution, Appliance oder des Hosters prüfen und einspielen.
- Wer das separate Modul mod_h2 aus dem GitHub-Projekt nutzt, auf einen Stand neuer als 2.0.42 wechseln.
Quellen
- Apache HTTP Server 2.4 vulnerabilities (Fixed in 2.4.71),
- Apache HTTP Server: CHANGES_2.4 (2.4.71),
- CVE-Datensatz CVE-2026-119618 (CNA Apache),
- CISA Known Exploited Vulnerabilities Catalog (JSON, Katalogversion 2026.11.10),
Akuter Verdacht oder Fragen zu Ihren Systemen?
Bestandskunden und technische Fälle: Unser Support prüft mit Ihnen.
Absicherung neu planen? [email protected]
Stand: 12.11.2026
© 2026 BDT Group GmbH · blured.de
Cookie-Einstellungen
Wählen Sie, welchen Kategorien Sie zustimmen. Ihre Auswahl gilt 12 Monate und lässt sich jederzeit ändern.
Für den Betrieb der Website erforderlich, z. B. das Speichern dieser Auswahl. Immer aktiv.
Google Analytics 4 (Google Ireland Limited, Irland): Reichweitenmessung, z. B. aufgerufene Seiten, Interaktionen (Scrollen, Klicks, Downloads, Suche, Videos, Formularinteraktionen ohne Inhalte), Herkunft, Gerät, Browser und ungefährer Standort. Cookies: _ga und _ga_5ZQM1G1ZGX (je 2 Jahre). Google-Signale deaktiviert, Werbesignale nur mit Einwilligung „Marketing“. Übermittlung in die USA möglich (EU-U.S. Data Privacy Framework). Wir haben die Datenfreigabe an Google aktiviert (u. a. „Google-Produkte und -Dienste“); insoweit ist Google eigener Verantwortlicher. Metricool (Metricool Software S.L., Spanien): Reichweitenmessung über einen Zählpixel von tracker.metricool.com, z. B. aufgerufene Seiten, Herkunft (Referrer), Fenstergröße und Ihre IP-Adresse; keine Cookies (Metricool). Außerdem speichern wir für die Dauer der Browsersitzung, über welche Seite und welchen Link (Kampagnenparameter) Sie zu uns gekommen sind, und übermitteln dies mit einer Anfrage an HubSpot (unser CRM).
Google Ads (Google Ireland Limited): Conversion-Messung und Remarketing (personalisierte Werbung); Werbesignale ad_storage, ad_user_data und ad_personalization werden nur hier erteilt. Unser Analytics-Konto ist mit Google Ads verknüpft; Google ist insoweit eigener Verantwortlicher (Datenschutzerklärung, Abschnitt 6.3). Cookies: _gcl_au, _gcl_aw (je 90 Tage). Meta Pixel (Meta Platforms Ireland Ltd.) und LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company): Messung des Anzeigenerfolgs und Zielgruppen für Werbung auf Facebook, Instagram und LinkedIn; Cookies z. B. _fbp, _fbc (90 Tage), li_fat_id (1 Monat). HubSpot-Tracking (HubSpot Ireland Ltd., Region EU): Wir ordnen Ihre Besuche auf unserer Website (aufgerufene Seiten, Herkunft) Ihrem Kontakt in unserem CRM zu, wenn Sie eine Anfrage senden, und bewerten Anfragen (Lead-Bewertung). HubSpot nutzt die Besuchsdaten außerdem als eigener Verantwortlicher für eine eigene Unternehmensdatenbank, aus der HubSpot auch anderen Unternehmen Informationen bereitstellt (Breeze Intelligence). Cookies: hubspotutk und __hstc (je 6 Monate), __hssc (30 Minuten), __hssrc (Sitzung). Apollo.io Website-Tracker (Apollo.io Inc., USA): Erkennung, aus welchem Unternehmen ein Besuch kommt (Firmenerkennung anhand der IP-Adresse), mit aufgerufenen Seiten und Herkunft; Speichereinträge apolloAnonId und Ereignis-Zwischenspeicher im Local Storage. Kommen Sie über eine Google-Anzeige, speichern wir die Google-Klick-ID (gclid) für die Sitzung und übermitteln sie mit einer Anfrage an HubSpot, um die Anfrage der Anzeige zuzuordnen. Übermittlung in die USA möglich (EU-U.S. Data Privacy Framework).
Online-Terminbuchung mit HubSpot Meetings auf der Seite „Termin“ (HubSpot Ireland Ltd., Region EU). Beim Laden können Cookies von HubSpot gesetzt und Ihre IP-Adresse übermittelt werden; Übermittlung in die USA möglich (EU-U.S. Data Privacy Framework).