Apache HTTP Server'da kritik uzaktan kod çalıştırma açığı

Apache HTTP Server kullanan sunucular için kritik bir güvenlik açığı duyuruldu. Habere göre CVE-2026-119618 olarak takip edilen sorun, sunucunun HTTP/2 desteğini sağlayan mod_http2 modülünde yer alıyor. Açık, başlık bilgilerinin paylaşılan kaynaklar üzerinde eşzamanlı işlenmesi sırasında ortaya çıkan bir yarış durumundan kaynaklanıyor. Bu da bellek yapısının bozulmasına zemin hazırlıyor.

Bellek bozulması, uzaktan ve kimlik doğrulaması yapmamış bir saldırganın sunucuda rastgele kod çalıştırmasına kadar gidebiliyor. Yani kötü niyetli biri, web sunucusunun yetkileriyle komut çalıştırabilir hale gelebilir. Makalede belirtildiğine göre açık, Anthropic ve Google Cloud'un güvenlik araştırma ekibi tarafından birbirinden bağımsız olarak tespit edildi. Yazının yayınlandığı sırada ise açığı kullanan bilinen bir saldırı ya da gerçek dünyada istismar raporu bulunmuyor.

Asıl endişe bulut ortamlarında yoğunlaşıyor. Habere göre Wiz'in verileri, bulut ortamlarının yüzde 64'ünde bu açığa karşı savunmasız kaynaklar bulunduğunu, yüzde 51'inde ise savunmasız örneklerin internete açık olduğunu gösteriyor. Ele geçirilen bir Apache örneği, konteyner veya sanal makine üzerinde çalışan iş yüklerinde yanal hareket için giriş noktası olabilir; komşu mikroservisler ya da bulut metadata uç noktaları riske girebilir.

Makalede önerilen ilk adım, Apache HTTP Server'ı 2.4.71 veya daha yeni bir sürüme yükseltmek. GitHub üzerinden ayrı yönetilen mod_h2 kurulumları için 2.0.42'den yeni bir sürüme geçilmesi gerekiyor. Hemen güncelleme yapılamıyorsa HTTP/2 desteğinin geçici olarak kapatılması, yapılandırma dosyasından h2 ve h2c referanslarının kaldırılması öneriliyor.