Wer seine Website, seinen Online-Shop oder ein Kundenportal auf einem eigenen Apache-Server betreibt, sollte heute handeln, nicht erst nächste Woche. Eine kritische Schwachstelle mit der Bezeichnung CVE-2026-119618 erlaubt es Angreifern, einen ungepatchten Server aus der Ferne zu übernehmen, ganz ohne Benutzername oder Passwort.
Was ist passiert
Apache HTTP Server in den Versionen 2.4.55 bis 2.4.70 enthält eine schwerwiegende Lücke im Modul mod_http2, genauer eine Race Condition in der Funktion assign_headers(), über die ein nicht authentifizierter Angreifer aus der Ferne den Arbeitsspeicher des Servers manipulieren und beliebigen Code mit den Rechten des Webserver-Prozesses ausführen kann. Auf Deutsch: Jemand ausserhalb des eigenen Netzwerks, ohne Konto und ohne Passwort, kann den Server potenziell zum Absturz bringen oder vollständig übernehmen.
Der Fix erschien in Version 2.4.71 am 11. November 2026, wie die offizielle Apache-Sicherheitsmeldung bestätigt. Das bedeutet, der Patch ist erst seit knapp einem Tag verfügbar, und die meisten Firmen mit eigenem Apache-Server haben ihn mit grosser Wahrscheinlichkeit noch nicht eingespielt.
Besonders brisant: Sicherheitsforscher haben bereits einen zuverlässigen Exploit gegen Server in Standardkonfiguration mit aktiviertem mod_http2 demonstriert, wie The Hacker News berichtet. Das ist kein theoretisches Risiko irgendwo im Labor – funktionierender Exploit-Code existiert bereits.
Warum das für Schweizer Unternehmen wichtig ist
Apache gehört zu den weltweit am häufigsten eingesetzten Webserver-Programmen. Es läuft still und leise hinter unzähligen Firmenwebsites, Online-Shops, Buchungssystemen und Kundenportalen, oft vor Jahren von einem Entwickler oder einer Agentur eingerichtet und seither nie mehr angefasst. Wenn Ihre Website auf einem gängigen Linux-Hosting-Stack aufgebaut ist, besteht eine reale Chance, dass Apache mit standardmässig aktiviertem mod_http2 läuft, genau jener Konfiguration, die Forscher bereits als angreifbar gezeigt haben.
Anders als bei vielen Schwachstellen, bei denen ein Mitarbeiter auf etwas klicken muss, braucht es hier von Ihrem Team gar nichts. Der Server selbst ist das Ziel, rund um die Uhr, egal ob jemand im Büro ist oder nicht.
Was Sie heute tun sollten
- Prüfen Sie Ihre Apache-Version. Liegt sie zwischen 2.4.55 und 2.4.70, sind Sie betroffen.
- Aktualisieren Sie umgehend auf Apache 2.4.71. Das ist der einzige vollständige Fix, und er ist bereits verfügbar.
- Falls ein sofortiges Patchen nicht möglich ist, empfehlen Sicherheitsforscher von Neoteric, das Modul mod_http2 zu deaktivieren und die Protocols-Direktive nur auf "http/1.1" zu setzen – als Übergangslösung. Apache selbst bietet keinen offiziellen Workaround an; dies ersetzt das Patchen nicht, sondern überbrückt nur die Zeit bis dahin.
- Fragen Sie konkret nach bei wem auch immer Ihr Hosting oder Ihr Server verwaltet wird – Webagentur, Hosting-Anbieter oder interne IT –, ob der Patch bereits eingespielt wurde. Verlassen Sie sich nicht darauf, dass das schon jemand erledigt hat.
- Prüfen Sie Ihre Server-Logs auf ungewöhnliche Abstürze oder Neustarts des mod_http2-Prozesses in den letzten Tagen, ein mögliches Anzeichen für Ausnutzungsversuche.
Das grössere Bild
Das ist die neueste in einer stetigen Serie kritischer Schwachstellen ohne Login-Zwang, die allein in diesem Monat weit verbreitete Geschäftssoftware trafen. KI-gestützte Angriffswerkzeuge sorgen dafür, dass sich Exploit-Code für solche Lücken schneller verbreitet als je zuvor, und die Zeitspanne zwischen Veröffentlichung eines Patches und dessen Ausnutzung durch Angreifer wird immer kürzer. Den Überblick über jede Sicherheitsmeldung für jede im Unternehmen eingesetzte Software zu behalten, ist bereits ein Vollzeitjob für sich. Genau deshalb beobachten wir dieses Themenfeld laufend und berichten über das, was wirklich zählt, damit Sie nicht jede einzelne Sicherheitsmeldung selbst verfolgen müssen.
Wer nicht genau weiss, welche Server-Software, Website-Plattform oder Hosting-Umgebung im eigenen Betrieb läuft oder ob kritische Patches wie dieser bereits eingespielt wurden, kann bei Flitz.ai (The Mejlerö Company GmbH) eine kostenlose Netzwerk-Analyse und eine kostenlose 1-Stunden-Beratung in Anspruch nehmen. So erhalten Schweizer Unternehmen in Obwalden, Nidwalden, Luzern und Zürich ein klares Bild ihrer IT-Risiken und Unterstützung dabei, den Betriebsalltag sicherer und automatisierter zu gestalten.
Schweiz.