Apache HTTP Server'da kritik mod_http2 race condition açığı, kimlik doğrulaması gerektirmeyen RCE'ye kapı aralıyor

Ne oldu

Wiz, Apache HTTP Server'ın HTTP/2 modülündeki CVE-2026-119618 kimlik numarasıyla takip edilen kritik bir açık hakkında ayrıntıları yayımladı. Bildirilenlere göre hata, uzaktan bir saldırganın herhangi bir kimlik bilgisi olmadan sunucu belleğini bozabileceği ve rastgele kod çalıştırma elde edebileceği bir eşzamanlılık (concurrency) kusuru. Wiz, keşfi iki bağımsız bulucuya, Anthropic ve Google Cloud'un güvenlik açığı araştırma ekibine atfediyor. Yayım tarihi itibarıyla şirketin belirttiğine göre herhangi bir exploit halka açılmış değil ve bu açığın yabani ortamda istismar edildiğine dair bilinen bir vaka yok.

Açık nasıl çalışıyor

Sorun mod_http2 içinde, özellikle eşzamanlı çalışan thread'ler arasında paylaşılan kaynakları yöneten assign_headers() adlı bir fonksiyonda yatıyor. Bu paylaşılan kaynaklara erişim düzgün şekilde senkronize edilmediği için saldırgan, heap'i bozan bir race condition tetikleyebiliyor. Bu bellek bozulması daha sonra web sunucusu kullanıcısı olarak rastgele komutlar çalıştırmak için kullanılabiliyor. Kritik nokta, saldırının herhangi bir kimlik doğrulaması gerektirmemesi; yalnızca HTTP/2 işlemenin etkin olduğu bir sunucuya erişebilmek yeterli.

Etkilenen sürümler

İki kod yolu etkileniyor. Apache HTTP Server'ın kendisi için 2.4.55 ile 2.4.70 arasındaki sürümler açık içeriyor ve düzeltme 2.4.71'de geliyor. GitHub'daki bağımsız mod_h2 modülünü çalıştıran ekipler içinse bildirim iç tutarsızlık içeriyor: sürüm tablosu 2.0.8 ile 2.0.42 arasını etkilenmiş, 2.0.24 ve sonrasını yamalanmış gösterirken, telafi metni kullanıcıları 2.0.42'nin ötesine yükseltmeye yönlendiriyor. İki rakam çeliştiğından, bağımsız modül kullanıcıları projenin kendi sürüm notları aksini belirtmedikçe 2.0.42 ve altındaki her sürümü açık içeriyor saymalı.

Bulut ortamlarındaki maruziyet

Wiz Research müşteri verilerini inceledi ve baktığı bulut ortamlarının %64'ünün bu CVE'ye karşı savunmasız kaynaklar, %51'inin ise herkese açık şekilde maruz kalmış etkilenen instance'lara sahip olduğunu bildiriyor. Şirket, bu rakamların yapılandırmayı hesaba katmadığı uyarısında bulunuyor. Bulut ortamlarında Wiz, container'laştırılmış veya sanallaştırılmış iş yükleri barındıran ele geçirilmiş bir Apache instance'ının yatay hareket için bir basamak haline gelebileceğini, saldırganlara komşu mikro servislere ve bulut metadata uç noktalarına giden bir yol sunabileceğini belirtiyor.

Yöneticiler ne yapmalı

Birincil çözüm bir yükseltme: Apache HTTP Server kurulumlarını race condition'ı assign_headers() içinde gideren 2.4.71 veya sonraki bir sürüme taşıyın. Bağımsız mod_h2 derlemeleri çalıştıran kurumlar da aynı şekilde yamalanmış bir modül sürümüne geçmeli. Anında yama uygulamanın mümkün olmadığı durumlarda — örneğin değişiklik pencereleri veya eski bağımlılıklar bir sunucu yükseltmesini engellediğinde — Wiz, geçici bir önlem olarak HTTP/2'yi devre dışı bırakmayı öneriyor. Uygulamada bu, genellikle httpd.conf olan yapılandırma dosyasını düzenleyerek etkin protokol listesinin yalnızca HTTP/1.1 içermesini ve artık h2 ya da h2c'ye başvurmamasını sağlamak anlamına geliyor. HTTP/2 desteğini bırakmak, düzgün bir yama dağıtılana dek saldırı vektörünü kapatıyor.

Neden önemli

Yaygın bir web sunucusunda kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma, ciddiyet ölçeğinin tepesine yakın bir açık türü: ağ üzerinden sunucuya erişebilen herkes, geçerli bir hesap olmadan onu potansiyel olarak ele geçirebilir. Apache HTTP Server internetin en yaygın dağıtılan sunucularından biri olmaya devam ediyor ve performans için HTTP/2 sıkça etkinleştiriliyor; dolayısıyla erişilebilir hedef havuzu büyük. Bulut ve container dağıtımlarında etki alanı tek bir host'u aşıyor, çünkü ele geçirilmiş bir web sunucusu süreci çoğu zaman kimlik bilgisi barındıran komşu servislere ve metadata uç noktalarına sızmak için kullanılabilir. Henüz aktif istismar kanıtı yok, ancak kamuya açık duyuru bu pencereyi önemli ölçüde kısaltma eğiliminde. Bugün yama uygulayamayacak yöneticiler en azından HTTP/2'yi devre dışı bırakmalı ve 2.4.71'e geçişi en kısa sürede planlamalı.