Apache HTTP Server'da kritik HTTP/2 açığı: kimlik doğrulaması olmadan uzaktan kod çalıştırma riski

CVE-2026-119618 kodlu açık, HTTP/2 etkin olan 2.4.55-2.4.70 sürümlerini etkiliyor; Apache 2.4.71 ile yamayı yayımladı, mod_h2 projesi için ise düzeltilmiş sürüm yok.

Apache HTTP Server'ın HTTP/2 modülünde kritik bir uzaktan kod çalıştırma açığı bulundu ve CVE-2026-119618 olarak takip ediliyor. Açık, 2.4.55 ile 2.4.70 arasındaki sürümleri ve 2.0.8 ile 2.0.42 arasındaki bağımsız mod_h2 derlemelerini etkiliyor. Saldırının kimlik bilgisi gerektirmemesi, açığı özellikle önemli kılıyor.

Açık yalnızca HTTP/2'nin etkin olduğu sunucularda sorun yaratıyor; bu özellik varsayılan olarak kapalı. Apache projesi düzeltmeyi 2.4.71 sürümüne ekledi. Red Hat, kendi paketleri için açığa CVSS üzerinden 9,8 puan verdi ve saldırganın sunucu sürecinin tam denetimini ele geçirebileceğini belirtti. Enterprise Linux 9 ve 10'da ise bellek ayırmanın akış bazında yapılması nedeniyle açık "Önemli" olarak sınıflandırıldı.

Wiz araştırmacıları yayımladıklarında herhangi bir kamuya açık istismar kodu ya da sahadaki saldırı raporu bulunmadığını bildirdi. Buna karşın Red Hat, güvenilir bir istismar yöntemi olduğunu iddia eden kamuya açık bir araştırmaya atıfta bulunuyor; ancak bu araştırmayı tanımlamıyor. Yamayı hemen uygulayamayan yöneticiler, Protocols yönergesinden h2 ve h2c seçeneklerini kaldırarak geçici bir önlem alabilir. Arşivlenmiş mod_h2 projesini kullananlar için ise düzeltilmiş bir sürüm bulunmadığını not etmek gerekiyor.