Apache'de kritik HTTP/2 açığı: 2.4.71 yaması hemen uygulanmalı

Apache Software Foundation, dünyada en yaygın kullanılan web sunucusu yazılımlarından biri olan Apache HTTP Server için 11 Kasım 2026'da 2.4.71 sürümünü yayımladı. Güncelleme, HTTP/2 modülü mod_http2'de bulunan ve kimlik doğrulaması gerekmeden uzaktan kod çalıştırmaya yol açabilen kritik bir açığı kapatıyor.

Açık ne?

CVE-2026-119618 kodlu zafiyet, mod_http2 içinde paylaşılan bir kaynağa eşzamanlı erişimden kaynaklanan bir yarış durumu (race condition). Bu durum yığın (heap) belleğinin bozulmasına ve bu yoldan kod çalıştırılmasına imkân verebiliyor. Apache açığı "kritik" olarak derecelendirdi; Red Hat kendi danışma belgesinde CVSS puanını 9,8 olarak verdi. Apache projesinin kendisi bir CVSS vektörü yayımlamadı.

Etkilenen sürümler Apache HTTP Server 2.4.55 ile 2.4.70 arası. GitHub üzerinden ayrıca derlenen bağımsız mod_h2 paketinin 2.0.8–2.0.42 sürümleri de etkileniyor; bu depo arşivlenmiş durumda ve yamalı bir sürümü bulunmuyor.

Önemli bir ayrıntı var: yalnızca HTTP/2 etkin sunucular kapsamda. Bu, yapılandırmadaki Protocols yönergesinde h2 (TLS üzerinden) veya h2c (düz TCP üzerinden) bulunmasıyla açılıyor. Ayar hem sunucu genelinde hem de tek bir sanal sunucu bloğunda tanımlanabildiği için iki yerin de kontrol edilmesi gerekiyor.

Aynı sürümde iki açık daha kapatıldı: mod_md'de HTTP isteği işlenirken oluşan ve alt sürecin çökmesine yol açabilen NULL işaretçi hatası (CVE-2026-106023; 2.4.30–2.4.70) ve mod_vhost_alias'ta bir baytlık yığın taşması (CVE-2026-109163; yalnızca 2.4.69 ve 2.4.70).

Neden önemli?

İstismar durumunda kaynaklar ayrışıyor. Red Hat, varsayılan yapılandırmada güvenilir bir istismarın kamuya açık araştırmalarda gösterildiğini belirtiyor. Buna karşılık güvenlik şirketi Wiz, aynı gün bir istismar kodunun kamuya açık olmadığını ve sahada istismar bildirilmediğini söyledi. Açık, 11 Kasım itibarıyla CISA'nın bilinen istismar edilen zafiyetler listesinde yer almıyordu.

Bu belirsizlik güncellemeyi ertelemek için bir gerekçe değil. Kimlik doğrulaması istemeyen ve doğrudan internete açık bir servisi hedefleyen açıklarda, yama ile ilk saldırı denemeleri arasındaki süre çoğu zaman günlerle ölçülüyor.

Türkiye ve KOBİ tarafındaki karşılığı

Apache, KOBİ'lerde beklenenden geniş bir alanda çalışıyor: paylaşımlı hosting hesapları, cPanel ve Plesk sunucuları, şirket içi portal ve ERP arayüzleri, kamera kayıt sistemlerinin web paneli, ters vekil (reverse proxy) katmanı ve yıllardır dokunulmamış eski uygulama sunucuları. Bu sistemlerin çoğu kurulduğu günden beri güncellenmiyor ve HTTP/2 birçok dağıtımda varsayılan olarak etkin geliyor.

Dağıtım tarafında tablo da eşit değil. Red Hat Enterprise Linux 9 ve 10 için güncellemeler yayımlandı; Debian'ın bookworm, trixie ve forky dallarında bu yazı hazırlanırken henüz yama listelenmemişti. Yani "paket güncellemesini çalıştırdım" cevabı tek başına yeterli olmayabilir.

Kamer Bilişim olarak ne öneriyoruz?

• Önce sürümü ve HTTP/2 durumunu tespit edin. Sunucularınızda httpd -v ya da apache2 -v ile sürümü, apachectl -S ve yapılandırma dosyalarındaki Protocols satırıyla HTTP/2 durumunu kontrol edin. 2.4.55–2.4.70 aralığında olan ve h2/h2c etkin her sunucu kapsamdadır.
• 2.4.71'e veya dağıtımınızın yamalı paketine yükseltin. Hemen yükseltemeyeceğiniz sistemlerde Wiz'in önerdiği ara adım, Protocols yönergesinden h2 ve h2c'yi çıkarıp yalnızca http/1.1 bırakmaktır. Bu geçici bir önlemdir, yamanın yerini tutmaz.
• Hosting ve yazılım tedarikçinizden yazılı teyit isteyin. Paylaşımlı hosting, bulut paneli veya hazır sanal makine imajı kullanıyorsanız yamanın uygulandığını ve hangi tarihte uygulandığını yazılı olarak teyit ettirin. Sunucu sizin olmasa da sorumluluk ortadan kalkmıyor.

Sunucu envanterinizi çıkarmak, yama planını oluşturmak veya bu kontrolleri kurumsal bakım anlaşması kapsamında düzenli hale getirmek için iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer lokasyonlarda uzaktan destek veriyoruz.

Kaynak: The Hacker News, Apache HTTP Server 2.4.71 sürüm duyurusu, Red Hat güvenlik danışma belgeleri