Apache HTTP Server 2.4.71, HTTP/2 modülündeki kritik kod çalıştırma açığını kapattı

Apache HTTP Server projesi 11 Kasım’da 2.4.71 sürümünü yayımladı. Projenin güvenlik sayfasına göre sürüm biri kritik, biri önemli (important), biri düşük (low) derecede üç açığı kapatıyor. Kritik olan CVE-2026-119618, sunucunun HTTP/2 desteğini sağlayan mod_http2 modülünde ve Apache’ye göre uzaktan kod çalıştırmaya (RCE) yol açabiliyor.

CVE-2026-119618

Apache’nin tanımına göre açık, mod_http2’nin assign_headers() işlevinde paylaşılan bir kaynağın hatalı eşzamanlama (improper synchronization) ile aynı anda kullanılmasından kaynaklanıyor. Güvenlik sayfasındaki başlık açığı heap bozulması (heap corruption) ve uzaktan kod çalıştırma olarak tanımlıyor.

CVE kaydında bir CVSS puanı yer almıyor, Apache açığın önem derecesini kritik olarak belirtiyor. Bulut güvenliği şirketi Wiz’in 11 Kasım’da yayımladığı değerlendirmeye göre uzaktaki, kimliği doğrulanmamış bir saldırgan açıkla heap belleğini bozup web sunucusu sürecinin yetkileriyle kod çalıştırabilir. Wiz, yazısının yayımlandığı sırada açık için bir istismar kodunun bulunmadığını ve açığın saldırılarda kullanıldığına dair bir bildirim olmadığını belirtiyor.

Etkilenen sürümler

• Apache HTTP Server: 2.4.55 ile 2.4.70 arasındaki sürümler etkileniyor. Düzeltme 2.4.71’de.
• mod_h2 (GitHub’dan dağıtılan modül): Apache’ye göre 2.0.8 ile 2.0.42 arasındaki sürümler etkileniyor.

Wiz, kendi verilerine göre bulut ortamlarının yüzde 64’ünde bu açıktan etkilenen kaynak bulunduğunu, yüzde 51’inde ise bunların internete açık olduğunu aktarıyor. Şirket bu oranların sunucuların yapılandırmasını hesaba katmadığını not ediyor.

Açığı bildirenler

Apache’nin güvenlik sayfasına göre açığı iki ayrı taraf bildirdi: Anthropic’in açık kaynak tarayıcısı (OSS Scanner) 26 Ekim’de, Google Cloud Vulnerability Research ekibinden Anthony Weems ve Simon Scannell 3 Kasım’da. Düzeltme 11 Kasım’da koda işlendi ve aynı gün 2.4.71 yayımlandı.

Aynı sürümde kapatılan diğer açıklar

• CVE-2026-106023 (önemli): mod_md modülünde, HTTP isteği işlenirken ortaya çıkan ve alt sürecin çökmesine yol açan NULL işaretçi hatası. Güvenlik sayfasına göre 2.4.30 ile 2.4.70 arası etkileniyor.
• CVE-2026-109163 (düşük): mod_vhost_alias modülünde bir baytlık stack taşması (stack buffer overwrite). Güvenlik sayfasına göre 2.4.69 ve 2.4.70 etkileniyor.

Önerilen önlemler

Apache HTTP Server kullananların 2.4.71’e yükseltmesi gerekiyor. Linux dağıtımlarının kendi paketlerini kullananlar için düzeltmenin dağıtımın güvenlik güncellemeleriyle gelmesi beklenir, bu yüzden dağıtımın duyurularını izlemek gerekiyor.

Hemen güncelleme yapamayanlar için Wiz, HTTP/2 desteğinin geçici olarak kapatılmasını öneriyor. Bunun için yapılandırma dosyasındaki Protocols satırından h2 ve h2c kaldırılıp yalnızca HTTP/1.1 bırakılıyor:

Protocols http/1.1

mod_h2 modülünü GitHub’dan ayrı derleyip kullananların modülü 2.0.42’den yeni bir sürüme yükseltmesi gerekiyor.