Apache HTTP/2 kritik zafiyeti uzaktan kod çalıştırmaya yol açıyor

Apache HTTP Server'ın HTTP/2 modülünde (mod_http2) ortaya çıkan kritik bir zafiyet, uzaktaki saldırganların sunucuda kod çalıştırmasına olanak tanıyabiliyor. CVE-2026-119618 olarak izlenen bu güvenlik açığı, 2.4.55 ile 2.4.70 sürümlerini etkiliyor ve yalnızca dün yayımlanan 2.4.71 sürümüyle giderildi. Red Hat'in kurumsal dağıtımı olan Red Hat Enterprise Linux'ta sunucu paketleri yer aldığı için, şirketin resmi değerlendirmesine göre yalnızca HTTP/2 protokolü etkin sunuculardaki yapılar risk altında. Red Hat'in açıklamasına göre bu zafiyeti kullanabilmek için saldırganın sunucuya erişebilmesi yeterli; kimlik doğrulaması gerekmeden sunucu işlemi üzerinde tam kontrol sağlanabiliyor. Şirket, açığı CVSS ölçeğinde 10 üzerinden 9.8 olarak sınıflandırdı.

Exploit Durumu ve Bağımsız Doğrulama​

Red Hat'in değerlendirme raporunda, varsayılan yapılandırmasıyla ve mod_http2 etkin durumundaki bir sunucuya karşı güvenilir bir exploit'in açık araştırmalarla kanıtlandığına işaret edilmiş; ancak ilgili araştırmanın adı veya bağlantısı verilmemiş. Gerekli güvenlik önlemleri konusunda bağımsız görüş bildiren güvenlik şirketi Wiz ise raporun yayımlandığı gün, henüz mevcut bir exploit'in olmadığını ve gerçek dünyada (in-the-wild) bu zafiyeti kullanan bir istismar vakasının rapor edilmediğini açıkladı.

Sürüm Farklılıkları ve Dağıtım Durumları​

Apache HTTP Server projesinin kendi yayımladığı güncel sürümlerini kullanan yöneticilerin 2.4.71 sürümüne geçmeleri gerekiyor. Bu sürüm, asıl zafiyetin yanı sıra mod_md eklentisindeki bir çökme sorununu ve mod_vhost_alias'taki bir bayt yığınağın (stack) aşılmasını da onarıyor. Apache dışındaki projelerde mod_h2 adı altında derlenip kullanılan sürümlerde de zafiyet mevcuttur; bağımsız GitHub sürümleri 2.0.8 ile 2.0.42 arasında yer alıyor.
Dağıtım firmaları kendi paket numaraları üzerinden düzeltmeleri uyguluyor. Red Hat, 9. ve 10. sürümleri için düzeltmeleri dün yayınladı ancak modüldeki yamaları sayesinde saldırganlığın gerçekleşme olasılığını düşürdükleri gerekçesiyle hatayı bu sürümlerde 'Kritik' yerine 'Önemli' olarak sınıflandırdı. Red Hat Enterprise Linux 8 ve öncesi sürümler bu zafiyet kodunu içermediğinden etkilenmiyor. Linux dünyasının diğer popüler dağıtımlarında ise durumlar farklı: Debian sürümünde yama mevcutken, kitaplıklardaki sürümler etkileniyor; Amazon Linux 2/2023/2027 Preview için yama bekleniyor; Ubuntu'nun güvenlik izleyicisinde ise bu konuya dair henüz bir sayfa oluşturulmamış. Apache'nin ana güvenlik dökümanı hiçbir önlem önermiyor. Wiz, henüz güncelleme yapamayan yöneticilere, Protocols direktifindeki h2 ve h2c ifadelerini kaldırıp yalnızca http/1.1 bırakmalarını öneriyor. Standalone mod_h2 projesinin ise GitHub'da son etkilenen sürüm olan 2.0.42 ile güncelliği kalmış durumda; 9 Haziran'dan bu yana arşivde read-only olarak korunuyor.

Zafiyetin Keşfi ve Zaman Çizelgesi​

Zafiyet, Anthropic'in açık kaynak projeler için ücretsiz bir tarama hizmeti olan OSS Scanner tarafından 26 Ekim'de bildirildi. Google Cloud Vulnerability Research ekibinden Anthony Weems ve Simon Scannell ise bu zafiyeti geçtiğimiz hafta resmen raporladı. Daha önce Mayıs ayının 4'ünde yayımlanan 2.4.67 sürümünde CVE-2026-23918 kodlu başka bir HTTP/2 zafiyeti düzeltilmişti; ancak 2.4.70'a kadar olan sürümleri kullanan kullanıcılar, bu yeni açığa karşı savunmasız konumda bulunmaya devam ediyordu.

Sıkça Sorulan Sorular​

Apache HTTP/2 zafiyeti hangi sürümleri etkiliyor?​

CVE-2026-119618 kodlu zafiyet, 2.4.55 sürümünden 2.4.70 sürümüne kadar olan Apache HTTP Server'ların mod_http2 bileşenini etkiliyor. Ayrıca derlenip ayrı olarak dağıtılan mod_h2 sürümlerinin 2.0.8 ile 2.0.42 aralığındakileri de bu sorunu taşıyor.

Apache HTTP Server güvenlik açığı nasıl kapatılıyor?​

Zafiyeti gideren güncel versiyon 2.4.71'dir. Apache HTTP Server projesinin kendi sürümünü kullananlar bu sürüme geçmelidir. Red Hat Enterprise Linux kullananlar ise işletim sistemi sağlayıcısının hazırladığı mod_http2 güvenlik paketlerini (örneğin RHEL 9'da mod_http2-2.0.26-7.el9_9.1) kurmalıdır.

Zafiyetin CVSS risk seviyesi ne kadar kritik?​

Red Hat tarafından yapılan değerlendirmede, açığın CVSS ölçeğinde 9.8 üzerinden 10 puan olarak derecelendirildi. Bu seviye, zafiyetin uzaktan ve kimlik doğrulamasız istismar edilebileceğini gösteren en kritik kategorinin altındaki en yüksek riskleri ifade eder.

Yeni sürüme geçemeyenlerde acil bir önlem uygulanabilir mi?​

Evet. Wiz güvenlik şirketi, henüz Apache 2.4.71 veya dağıtım yamasına geçemeyen yöneticiler için mod_h2'nin bağımsız sürümünün 6 Haziran'dan bu yana güncellenmediğini belirtiyor. Bu durumda önerilen acil geçici önlem, sunucu yapılandırmasındaki 'Protocols' satırında yer alan 'h2' ve 'h2c' ifadelerini silip sadece 'http/1.1' protokolünü bırakmaktır.

Red Hat'in zafiyeti 'Kritik' yerine neden 'Önemli' olarak gösterdiğini açıklıyor mu?​

Red Hat, kendi Red Hat Enterprise Linux 9 ve 10 sürümlerinde zafiyetin riskini 'Önemli' olarak sınıflandırıyor. Şirketin gerekçesi, paketlerine ekledikleri mod_http2 yamalarının HTTP/2 streamleri için ayrı bellek tahsisi (memory allocator) yapması ve bu sayede saldırının gerçekleşme olasılığını zorlaştırmasıdır.