CVE-2026-119618: Apache mod_http2'de kimlik doğrulaması öncesi RCE açığı 2.4.71'de giderildi

Ne oldu

CVE-2026-119618 olarak takip edilen bir güvenlik açığı, HTTP/2'nin etkin olduğu Apache HTTP Server kurulumlarında kimliği doğrulanmamış saldırganlara uzaktan kod çalıştırma imkânı veriyor. CVSS 9.8 puanı taşıyan bu açıklık, 11 Kasım 2026'da Apache HTTP Server 2.4.71 sürümünde giderildi. dev.to'da yayımlanan teknik bir incelemeye göre istismar için hazırlanmış tek bir HTTP/2 isteğinden fazlası gerekmiyor: ne kimlik bilgisi ne de kurbandan herhangi bir etkileşim.

Yarış durumu nasıl çalışıyor

dev.to analizi mekanizmayı ayrıntılarıyla ortaya koyuyor. mod_http2, worker thread'lerin bağlantının paylaşımlı bellek ayırıcısını asla kullanmaması — her worker'ın kendine özel bir ayırıcı kullanması — şekilde tasarlanmış. assign_headers() adlı fonksiyon bu kuralı belirli bir istek biçiminde ihlal ediyor: gövdesi olmayan, ancak Content-Type başlığı taşıyan ve Content-Length içermeyen, ayrıca isteğin başlık tablosu zaten doluken gelen bir istek.

Bu durumda worker thread, Content-Length: 0 girdisini sentezleyip bağlantı thread'iyle paylaşılan bir stream tablosuna yazıyor. Bu yazma işlemi, kilit kullanmayan (lock-free) bir serbest liste üzerinde bağlantı thread'iyle yarışıyor ve iki thread aynı düğümü geri alabilir. Yığın belleği bozuluyor, bellek fiilen aynı anda iki thread tarafından sahiplenilmiş oluyor — analiz bu durumu, bir istismarın kod çalıştırmaya dönüştürdüğü temel ilkel (primitive) olarak tanımlıyor.

Kimler etkileniyor

İncelemeye göre etkilenen yazılımlar Apache HTTP Server 2.4.55 ile 2.4.70 arası sürümler ve bağımsız mod_h2 modülünün 2.0.8 ile 2.0.42 arası sürümleri. Etkilenme tamamen yapılandırmaya bağlı: yalnızca HTTP/2'nin etkin olduğu sunucular, yani bir Protocols yönergesinde h2 veya h2c belirtecinin bulunduğu sunucular açıkıktan etkileniyor. Bu yönerge sunucu genelinde ya da tekil virtual host'ların içinde ayarlanabildiği için analiz her iki düzeyin de kontrol edilmesi gerektiğini vurguluyor — sunucu global düzeyde temiz görünürken tek bir virtual host onu açıkta bırakabilir.

Ne kadar yaygın

İnceleme, Wiz'in rakamlarına dayanarak bulut ortamlarının yüzde 64'ünün savunmasız bir sürüm çalıştıran kaynaklar içerdiğini ve yüzde 51'inde internete açık örnekler bulunduğunu bildiriyor. Herkese açık istismar materyali zaten mevcut: hatayı yeniden üreten bir container laboratuvarı, yarış durumunu gösteren ThreadSanitizer izleri ve standart kütüphaneyle yazılmış bir kavram kanıtı (proof of concept) GitHub'da CVE tanımlayıcısı altında erişilebilir. Analiz ayrıca Red Hat ile upstream'in sorunu nasıl derecelendirdiğini karşılaştırıyor ve ayrıntıyı daha uzun bir yazıya bırakıyor.

Yama ve geçici çözümler

Çözüm bir sürüm yükseltmesi: Apache HTTP Server 2.4.71 ya da bağımsız modül için mod_h2 2.0.43. İnceleme, karşılık gelen Red Hat paketlerini RHEL 9 için mod_http2-2.0.26-7.el9_9.1 ve RHEL 10 için mod_http2-2.0.29-5.el10_3.1 olarak listeliyor. 11 Kasım'dan önce derlenen container imajları savunmasız modülü içinde barındırıyor ve yeniden derlenmeleri gerekiyor.

Hemen yamanamayan sunucular için önerilen geçici çözüm, her yapılandırma dosyasında ve her virtual host bloğunda Protocols http/1.1 ayarlanarak HTTP/2'nin devre dışı bırakılması. Bu geçici çözüm ya hep ya hiç: h2 veya h2c etkin kalan tek bir virtual host bile sunucuyu risk altında tutuyor.

Neden önemli

Bu açıklık web sunucusu güvenlik açıklarının en üst katmanında yer alıyor: internet sitelerinin büyük bir bölümünün önünde çalışan bir yazılımda, porta bağlanabilen herkesin erişebileceği, kimlik doğrulaması gerektirmeyen kod çalıştırma. İki şey durumu daha da keskinleştiriyor. Birincisi, HTTP/2 desteği TLS'in sonlandırıldığı her yerde yaygın biçimde etkinleştiriliyor, yani savunmasız yapılandırma istisnadan çok norma yakın. İkincisi, etkilenen pencere çok geniş — on altı 2.4.x sürümü artı bağımsız mod_h2'nin uzun bir sürüm dizisi — ve Wiz'in rakamları bulut varlıklarının çoğunun en az bir savunmasız kaynak barındırdığını, bunların yarısının internete dönük olduğunu gösteriyor.

Dengeleyici unsur ise çözümün sıradan bir sürüm yükseltmesi, geri çekilme yolunun da tek satırlık bir yapılandırma değişikliği olması. Gerçek açıkta kalma penceresi şu an ile işletmecilerin bunlardan birini uygulayacağı an arasındaki boşluk; bu da Apache üzerinde HTTP/2 çalıştıran herkes için önce en acil işi yamalamaya — ve 11 Kasım'dan eski her container imajını yeniden derlemeye — çeviriyor.