Apache HTTP Server mod_http2: Use-after-free-Schwachstelle

Zusammenfassung

Eine Use-after-free-Schwachstelle im Modul mod_http2 von Apache HTTP Server erlaubt einem entfernten Angreifer, httpd-Worker-Prozesse zum Absturz zu bringen, was einen Denial of Service verursacht. Die Ursache ist die re-entrante Verwendung eines gemeinsam genutzten Session-Puffers (session->bbtmp). Die CVSS-Bewertung in der NVD liegt bei 9.8 (Critical), Apache stuft die Schwachstelle jedoch als moderat ein. Nur Server mit geladenem mod_http2 sind betroffen, und es ist weder eine Anmeldung noch eine Benutzerinteraktion nötig.

Betroffen

• Apache HTTP Server 2.4.0 bis 2.4.68 laut CVE-Eintrag und oss-security-Beitrag
• Die Apache-Advisory-Seite nennt für diese CVE 2.4.17 bis 2.4.68; die untere Grenze ist nicht vollständig bestätigt
• Nur Installationen mit aktiviertem mod_http2 sind betroffen

Behoben in

• Apache HTTP Server 2.4.69 (veröffentlicht am 01.10.2026, Upstream-Commit r1938665)
• Distributionspakete: Die Herstellerhinweise zu rückportierten Fixversionen prüfen

Umgehung

• mod_http2 deaktivieren, bis eine korrigierte Version installiert ist (geladene Module mit httpd -M prüfen)
• Clients weichen danach auf HTTP/1.1 aus; die betrieblichen Auswirkungen vorab prüfen

Ausnutzung

• CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als yes
• Zum Zeitpunkt der Erstellung ist keine öffentliche Ausnutzung und kein Proof of Concept gemeldet
• Die nachgewiesene Auswirkung ist der Absturz eines Worker-Prozesses (Denial of Service); eine Codeausführung ist nicht bestätigt

Unsere Empfehlung

• Alle httpd-Instanzen inventarisieren und prüfen, ob mod_http2 geladen ist (httpd -M), insbesondere bei aus dem Internet erreichbaren Servern und Reverse Proxies
• Auf Apache HTTP Server 2.4.69 oder das korrigierte Paket der Distribution aktualisieren
• Falls das Patchen warten muss, mod_http2 auf exponierten Servern deaktivieren
• Auf Worker-Abstürze und neuen öffentlichen Exploit-Code achten
• Die Priorisierung nach Apaches moderater Einstufung und der tatsächlichen Exposition vornehmen, nicht nur nach dem CVSS-Wert 9.8

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache HTTP Server 2.4 vulnerabilities httpd.apache.org
• oss-security post CVE-2026-57941 www.openwall.com
• Red Hat CVE-2026-57941 access.redhat.com
• Debian Security Tracker CVE-2026-57941 security-tracker.debian.org
• Apache httpd 2.4.69 release notes overview top-secured.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:35.