Yaygın kullanılan açık kaynaklı web sunucusu Apache HTTP Server bünyesindeki HTTP/2 modülünde, kimlik doğrulaması olmayan uzaktaki bir saldırganın bellek bozulması yoluyla sunucuda kod çalıştırmasına imkân verebilen kritik bir güvenlik açığı kapatıldı. Apache Software Foundation tarafından 11 Kasım 2026'da yayımlanan 2.4.71 sürümü biri kritik, biri önemli ve biri düşük seviyeli olmak üzere üç açığı gideriyor. Sunucunun HTTP/2 desteğini sağlayan mod_http2 modülündeki assign_headers() işlevinde yer alan kritik CVE-2026-119618 açığı, Apache güvenlik sayfasındaki bilgilere göre uzaktan kod çalıştırma (RCE) riski doğurabiliyor.
Açık ne yapıyor
CVE-2026-119618, CWE-362 koduyla sınıflandırılan bir yarış durumu (race condition) hatasından kaynaklanıyor. Paylaşılan bir kaynağa eşzamanlı erişim sırasında senkronizasyonun yetersiz kalması, yığın (heap) belleğinin bozulmasına yol açıyor.
Bulut güvenliği şirketi Wiz tarafından yapılan analize göre kimlik doğrulaması bulunmayan uzaktaki bir saldırgan, bu bellek bozulmasını kullanarak web sunucusu sürecinin yetkileriyle sunucuda komut çalıştırabiliyor. Wiz, ele geçirilen bir Apache sunucusunun bulut ortamlarında yan sistemlere ve bulut meta veri uç noktalarına geçiş için bir giriş noktası olabileceğini yazdı.
Hangi sürümler etkileniyor
Açık, HTTP/2 desteği açık olan kurulumları ilgilendiriyor ve Apache HTTP Server 2.4.55 ile 2.4.70 arasındaki (dahil) sürümleri etkiliyor. GitHub üzerinden ayrıca dağıtılan mod_h2 modülünün 2.0.8 ile 2.0.42 arası sürümleri de açıktan etkileniyor.
Wiz verilerine göre bulut ortamlarının yüzde 64'ünde açıktan etkilenen kaynak, yüzde 51'inde ise internete açık etkilenen kurulum bulunuyor. Wiz bu oranların sunucu yapılandırmasını hesaba katmadığını belirtti. Açıktan etkilenen sunucu sayısı ise açıklanmadı.
Açığı yapay zekâ tarayıcısı da buldu
Apache kayıtlarına göre açığı iki ayrı ekip bağımsız olarak tespit etti. Anthropic'in yapay zekâ tabanlı açık kaynak tarayıcısı (Anthropic's OSS Scanner) açığı ANT-2026-MAPKT6MZ koduyla 26 Ekim 2026'da, Google Cloud Vulnerability Research ekibinden Anthony Weems ve Simon Scannell ise 3 Kasım 2026'da Apache güvenlik ekibine bildirdi. Düzeltme ve 2.4.71 sürümü 11 Kasım 2026'da yayımlandı.
Yama ve geçici önlem
Wiz'in blog yazısının yayımlandığı 11 Kasım 2026 itibarıyla açık için kamuya açık bir istismar kodu bulunmuyor ve sahada istismar edildiğine dair rapor yer almıyor. Açık, CISA'nın aktif istismar listesinde de bulunmuyor.
Apache, tüm kullanıcılara 2.4.71 sürümüne geçmeyi, ayrı mod_h2 kullananlar için ise 2.0.42'den yeni sürümleri öneriyor. Wiz, hemen güncelleme yapılamıyorsa geçici önlem olarak sunucu yapılandırmasında (örneğin httpd.conf dosyasında) HTTP/2'nin kapatılmasını, yani «Protocols http/1.1» ayarıyla yalnız HTTP/1.1'e izin verilmesini öneriyor.
Apache HTTP Server 2.4.71 sürümü kritik açığın yanı sıra iki açığı daha kapatıyor:
- CVE-2026-106023 (Önemli): 2.4.30 ile 2.4.70 arası sürümlerde mod_md modülünde bulunan ve sunucu alt sürecini çökertebilen açık.
- CVE-2026-109163 (Düşük): 2.4.69 ile 2.4.70 arası sürümlerde mod_vhost_alias modülünde yer alan açık.
Türkiye açısından
Apache HTTP Server, Türkiye'de de barındırma şirketlerinin, kurumların ve e-ticaret sitelerinin sunucularında yaygın kullanılan açık kaynaklı web sunucularından biri. HTTP/2 desteği açık olan 2.4.55 ile 2.4.70 arası sürümleri çalıştıran sunucular açıktan etkileniyor. Siber Güvenlik Başkanlığı'nın bu açık için yayımlanmış bir bildirimi henüz bulunmuyor; bildirim yayımlanırsa haber güncellenecektir.
Kaynaklar
- Apache HTTP Server Project: Apache HTTP Server 2.4 vulnerabilities
- Wiz: Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know
- NVD: CVE-2026-119618
Kapak görseli: ApacheCon Europe 2019, Berlin — newthinking communications, CC BY-SA 2.0, Wikimedia Commons (kırpıldı, 1200x675).
.jpg){kind=link}