Red Hat liefert den Server mit Red Hat Enterprise Linux aus. Nach Darstellung des Linux-Anbieters muss sich ein Angreifer nicht anmelden, er muss den Server lediglich erreichen können. Er könne dann die vollständige Kontrolle über den Serverprozess übernehmen. Red Hat bewertet die Lücke im CVSS mit 9,8 von 10 Punkten. In seiner Einschätzung heißt es außerdem, öffentliche Forschung habe einen zuverlässigen Exploit gegen einen Server in Standardkonfiguration mit aktiviertem mod_http2 gezeigt. Um welche Forschung es sich handelt, nennt Red Hat nicht, einen Link gibt es auch nicht. Das Sicherheitsunternehmen Wiz erklärte später am selben Tag dagegen, es sei kein Exploit verfügbar. Auch Angriffe in freier Wildbahn seien nicht gemeldet worden.

Ob HTTP/2 läuft, legt die Direktive Protocols fest, wie die Dokumentation des Moduls erläutert. Der Wert h2 steht für HTTP/2 über TLS, h2c für HTTP/2 über unverschlüsseltes TCP. Die Direktive lässt sich für den gesamten Server oder für einzelne virtuelle Hosts setzen. Administratoren sollten deshalb die serverweite Einstellung und jeden virtuellen Host prüfen.

Betroffen sind auch die eigenständigen Builds des Moduls, die auf GitHub unter dem Namen mod_h2 erscheinen, und zwar die Versionen 2.0.8 bis 2.0.42. Eine korrigierte Fassung hat dieses Projekt bisher nicht veröffentlicht. Die Release-Liste endet mit 2.0.42, der letzten betroffenen Version. Das Repository wurde am 9. Juni archiviert und ist seitdem schreibgeschützt.

Wer die Releases des Apache-HTTP-Server-Projekts selbst einsetzt, sollte laut dessen Sicherheitshinweis auf 2.4.71 aktualisieren. Diese Version behebt zwei weitere Fehler:

  • einen Absturz in mod_md, eingestuft als „wichtig“
  • das Überschreiben eines Bytes im Stack-Speicher in mod_vhost_alias, eingestuft als „niedrig“

Linux-Distributionen bauen den Server selbst und vergeben eigene Paketversionen. Unter Red Hat Enterprise Linux 9 heißt das korrigierte Paket zum Beispiel mod_http2-2.0.26-7.el9_9.1. Red Hat hat Updates für die Versionen 9 und 10 veröffentlicht. Für diese Releases stuft das Unternehmen die Lücke nur als „wichtig“ statt als „kritisch“ ein. Der Grund: Die mod_http2-Pakete von Red Hat geben jedem HTTP/2-Stream einen eigenen Speicher-Allocator, was einen Angriff deutlich erschwert. Red Hat Enterprise Linux 8 und ältere Versionen enthalten den verwundbaren Code nicht. Den Stand bei Debian und Amazon Linux zeigen deren Sicherheits-Tracker. Im CVE-Tracker von Ubuntu gab es zuletzt noch keinen Eintrag zu der Lücke.

Der Apache-Sicherheitshinweis nennt keine Übergangslösung. Wiz empfiehlt in seiner Analyse allen, die noch nicht aktualisieren können, h2 und h2c aus der Protocols-Direktive zu entfernen, sodass nur „Protocols http/1.1“ übrig bleibt. Das gilt auch für Server mit den eigenständigen mod_h2-Builds.

Gemeldet wurde die Lücke am 26. Oktober vom OSS Scanner von Anthropic. Der kostenlose Dienst durchsucht Open-Source-Projekte mithilfe der KI-Modelle des Unternehmens. In der vergangenen Woche meldeten auch Anthony Weems und Simon Scannell von Google Cloud Vulnerability Research die Schwachstelle.

Eine ältere HTTP/2-Lücke, CVE-2026-23918, wurde mit Version 2.4.67 vom 4. Mai geschlossen. Wer auf diese Version oder eine spätere bis einschließlich 2.4.70 aktualisiert hat, ist von der neuen Lücke trotzdem betroffen.