Apache HTTP/2 Modülündeki Kritik Güvenlik Açığı Uzaktan Kod Çalıştırmaya İzin Verebilir

Apache HTTP/2 Modülündeki Kritik Güvenlik Açığı Uzaktan Kod Çalıştırmaya İzin Verebilir

Apache HTTP Sunucusu’nun HTTP/2 modülü olan mod_http2‘de tespit edilen kritik bir güvenlik açığı, uzaktaki bir saldırganın sunucu üzerinde kod çalıştırmasına olanak tanıyor. CVE-2026-119618 olarak izlenen bu açık, 2.4.55’ten 2.4.70’e kadar olan sürümleri etkilemekte olup, dün yayınlanan 2.4.71 sürümünde giderildi.

Red Hat’e göre, bu güvenlik açığından yalnızca HTTP/2 etkin olan sunucular etkileniyor. Red Hat, sunucuyu Red Hat Enterprise Linux’un bir parçası olarak dağıtıyor.

Linux satıcısı, sunucuya erişebilen bir saldırganın bu açığı istismar etmek için kimlik doğrulamasına ihtiyaç duymadığını ve sunucu sürecinin tam kontrolünü ele geçirebileceğini belirtiyor. Açık, CVSS ölçeğinde 10 üzerinden 9.8 olarak derecelendirildi.

Dün yayınlanan satıcı değerlendirmesinde, mod_http2 etkinleştirilmiş varsayılan yapılandırmaya sahip bir sunucuya karşı “güvenilir bir istismarın kamuya açık araştırmalarla gösterildiği” de belirtiliyor. Ancak bu araştırmanın adı veya bağlantısı verilmiyor. Güvenlik şirketi Wiz, aynı günün ilerleyen saatlerinde herhangi bir istismarın mevcut olmadığını ve sahada herhangi bir istismar rapor edilmediğini açıkladı.

HTTP/2, yalnızca Protocols yönergesinin etkinleştirdiği yerlerde çalışır, modül belgelerinde açıklandığı gibi. Yönerge, TLS üzerinden HTTP/2 için h2’yi ve düz TCP üzerinden HTTP/2 için h2c’yi kullanır. Bu ayar tüm sunucu için veya tek bir sanal ana bilgisayar için yapılabilir, bu nedenle yöneticilerin sunucu genelindeki ayarı ve her sanal ana bilgisayarı kontrol etmeleri önemlidir.

GitHub’da mod_h2 olarak yayınlanan modülün bağımsız yapıları, 2.0.8’den 2.0.42’ye kadar olan sürümlerden etkileniyor.

Apache HTTP Sunucusu projesinin kendi sürümlerini kullanan yöneticiler, güvenlik duyurusunda belirtilen düzeltilmiş sürüm olan 2.4.71’e geçmelidir. Bu sürüm ayrıca, önemli olarak derecelendirilen mod_md’deki bir çökme ve düşük olarak derecelendirilen mod_vhost_alias’taki bir baytlık yığın belleği üzerine yazma sorununu da gideriyor.

Aşağıdaki tabloda yer alan dağıtımlar, sunucunun kendi yapılarını kendi paket sürüm numaralarıyla birlikte sunmaktadır. Örneğin, Red Hat Enterprise Linux 9’da düzeltme mod_http2-2.0.26-7.el9_9.1 olarak gönderilmektedir.

Red Hat, dün Red Hat Enterprise Linux 9 ve 10 için düzeltmeleri yayınladı ve bu sürümlerdeki açığı Kritik yerine Önemli olarak derecelendirdi. Satıcının şiddet değerlendirmesine göre, mod_http2 paketleri her HTTP/2 akışına kendi bellek ayırıcısını vererek bir saldırıyı çok daha zor hale getiriyor. Red Hat Enterprise Linux 8 ve önceki sürümler savunmasız kodu içermiyor.

Debian satırları Debian’ın güvenlik takipçisinden, Amazon satırı ise Amazon Linux takipçisinden alınmıştır. The Hacker News’in bugün kontrol ettiğinde Ubuntu’nun CVE takipçisinde bu açık için bir sayfa bulunmuyordu.

Apache HTTP Sunucusu duyurusu herhangi bir geçici çözüm sunmuyor. Wiz, güvenlik açığı analizinde, henüz güncelleme yapamayan yöneticilere Protocols yönergesinden h2 ve h2c’yi kaldırarak Protocols http/1.1 bırakmalarını tavsiye ediyor.

Bağımsız mod_h2 projesi henüz düzeltilmiş bir sürüm yayınlamadı. GitHub’daki sürüm listesi, etkilenen son sürüm olan 2.0.42’de sona eriyor ve deposu 9 Haziran’da arşivlendiğinden beri salt okunur durumdadır. Yukarıdaki Protocols değişikliği, bu yapıları kullanan sunucular için de geçerlidir.

Açık, 26 Ekim’de Anthropic’in yapay zeka modellerini kullanan açık kaynak projeleri için ücretsiz bir tarama hizmeti olan OSS Scanner tarafından bildirildi. Geçen hafta ise Google Cloud Güvenlik Açığı Araştırma ekibinden Anthony Weems ve Simon Scannell tarafından rapor edildi.

Daha önceki bir HTTP/2 açığı olan CVE-2026-23918, 4 Mayıs’ta yayınlanan 2.4.67 sürümünde düzeltilmişti. Bu sürüme veya 2.4.70’e kadar olan daha sonraki herhangi bir sürüme güncellenen sunucular, yeni açıktan etkilenen bir sürümü çalıştırmaya devam etmektedir.