Apache heeft een kritieke kwetsbaarheid in Apache HTTP Server gepatcht. De bug zit in de HTTP/2-module en kan een aanvaller toelaten om eigen code uit te voeren op de server.
Apache patcht een bug die een grote hoeveelheid webservers wereldwijd aanbelangt. Apache HTTP Server is volgens W3Techs de webserver achter 20,9 procent van de websites waarvan de webserver bekend is. Alleen Cloudflare Server (33,7 procent) en Nginx (30 procent) komen vaker voor. De patch zit in versie 2.4.71, die Apache op 11 november uitbracht.
Het lek kreeg het label CVE-2026-119618 en de stempel kritiek, de hoogste ernstscore die Apache gebruikt. Het werd gemeld door de OSS Scanner van Anthropic en door Anthony Weems en Simon Scannell van Google Cloud Vulnerability Research.
Gelijktijdige verzoeken
HTTP/2 is een versie van het protocol waarmee browsers en webservers met elkaar communiceren. Het laat toe om over één verbinding meerdere verzoeken tegelijk af te handelen. Bij dat gelijktijdige werk loopt het mis. Verschillende taken krijgen toegang tot hetzelfde stuk geheugen, zonder dat de module goed regelt wie het wanneer mag aanpassen.
Criminelen die dat gericht uitlokken, kunnen het geheugen van de server aantasten. Volgens Apache kan een aanvaller op die manier op afstand eigen code laten uitvoeren op de server.
Kwetsbare versies
Getroffen zijn de versies 2.4.55 tot en met 2.4.70, en dan alleen als de HTTP/2-module (mod_http2) actief is. Ook de losse mod_h2-module op GitHub is kwetsbaar, in de versies 2.0.8 tot en met 2.0.42.
De 20,9 procent van W3Techs is dus een bovengrens. Servers met een versie ouder dan 2.4.55 of zonder HTTP/2 zijn niet getroffen door dit lek. Hoeveel Apache-servers aan beide voorwaarden voldoen, is niet bekend.
Beheerders die een getroffen versie draaien, kunnen updaten naar 2.4.71. Die versie dicht ook twee andere lekken, waarvan Apache er één als belangrijk inschaalt. Apache vermeldt bij geen van de drie dat ze al misbruikt worden. Lukt het niet om snel te updaten, dan volstaat het om de HTTP/2-module tijdelijk uit te schakelen.