Apache HTTP/2 Açığı CVE
2026-119618

Apache HTTP/2 açığı CVE-2026-119618 nedir?

CVE-2026-119618, Apache HTTP Server’ın HTTP/2 desteğini sağlayan mod_http2 bileşeninde bulunan kritik bir güvenlik açığıdır. Apache’nin resmî açıklamasına göre ortak bir kaynağa eş zamanlı erişimin uygun biçimde senkronize edilmemesi, heap bellek bozulmasına ve uzaktan kod çalıştırmaya (RCE) yol açabilir.

Sorun assign_headers() işleviyle ilişkilidir. Gerçek etki ve maruz kalma durumu; kullanılan paket, modül ve etkin sunucu yapılandırması birlikte incelenerek belirlenmelidir.

Bu duyuru, herhangi bir müşterimizin sunucusunda saldırı gerçekleştiği veya veri ihlali yaşandığı anlamına gelmez. Amaç, ilgili yazılımı kullanan sunucu yöneticilerinin gerekli kontrolleri yapmasını sağlamaktır.

Hangi sunucular kontrol edilmeli?

Öncelikli kontrol grubu, etkilenen sürümlerden birini çalıştıran ve Apache üzerinde HTTP/2 bağlantısı kabul eden sistemlerdir. VDS, VPS, fiziksel sunucu, konteyner ve kontrol paneliyle yönetilen web sunucuları bu kapsamda incelenmelidir.

• Kendi sunucusunu yöneten müşteriler: Apache sürümünü, paket yamasını ve HTTP/2 kullanımını kontrol etmelidir.
• Paylaşımlı hosting kullanıcıları: Sunucu düzeyindeki güncellemeler hizmet sağlayıcısı tarafından yönetilir. Bu rehberdeki yönetici komutlarını uygulamaları gerekmez.
• Nginx, LiteSpeed veya IIS kullanan sistemler: Bu CVE Apache mod_http2 bileşenine aittir. Arka planda ayrıca Apache çalışıp çalışmadığı kontrol edilmelidir.
• CDN veya ters vekil kullanan sistemler: Ön katmanın yanında Apache’ye giden bağlantılar ve doğrudan erişilebilen origin adresleri de değerlendirilmelidir.

1. Apache sürümü nasıl kontrol edilir?

Aşağıdaki komutlar bilgi toplamak içindir. Sunucunuzun kurulum türüne uygun komut grubunu kullanın. Kontrol paneli veya özel derleme kullanılan sistemlerde komut ve dosya yolları farklı olabilir.

Debian ve Ubuntu

sudo apache2ctl -v
sudo apache2ctl -M
sudo apache2ctl -S
dpkg-query -W apache2 apache2-bin
apt-cache policy apache2 apache2-bin

RHEL, AlmaLinux ve Rocky Linux

sudo httpd -v
sudo httpd -M
sudo httpd -S
rpm -q httpd mod_http2
sudo dnf updateinfo info --cves CVE-2026-119618

Modül listesinde http2_module görülmesi, HTTP/2 modülünün yüklü olduğunu gösterir. Modülün yüklü olması tek başına HTTP/2’nin etkin olduğunu veya paketin açık içerdiğini kanıtlamaz. Paket yaması ve etkin yapılandırma da kontrol edilmelidir.

2. Apache üzerinde HTTP/2 etkin mi?

Apache’de HTTP/2 kullanımı, modülün yüklenmesinin yanında Protocols yapılandırmasıyla ilişkilidir. Aşağıdaki örnek TLS üzerinden HTTP/2’ye izin verir:

Protocols h2 http/1.1

Aşağıdaki yapılandırma ise şifresiz HTTP/2 kullanımına da izin verebilir:

Protocols h2 h2c http/1.1

Standart yapılandırma dizinlerinde ilgili ayarları aramak için sunucunuza uygun komutu kullanabilirsiniz:

Debian / Ubuntu:

sudo grep -RniE '^[[:space:]]*(Protocols|H2Direct|H2Upgrade)' /etc/apache2

RHEL / AlmaLinux / Rocky Linux:

sudo grep -RniE '^[[:space:]]*(Protocols|H2Direct|H2Upgrade)' /etc/httpd

Arama sonucu tek başına etkin yapılandırmayı göstermez. Dosyanın Apache tarafından yüklenip yüklenmediğini ve ilgili VirtualHost içinde farklı bir ayar bulunup bulunmadığını inceleyin. Özel kurulumlarda yapılandırma dizini değişebilir.

3. Apache güvenlik güncellemesi nasıl yapılır?

Kalıcı çözüm, bu CVE’nin düzeltmesini içeren Apache sürümünü veya dağıtım paketini kullanmaktır. İşlem öncesinde yapılandırmalarınızı yedekleyin ve geri dönüş planınızı hazırlayın. Servis yeniden başlatılacağı için kısa kesinti oluşabilir.

Debian / Ubuntu standart paket kurulumu

Önce dağıtımınız için düzeltmenin yayımlandığını doğrulayın. Aşağıdaki komutlar işletim sisteminin standart Apache paketleriyle yönetilen kurulumlar içindir:

sudo apt update
sudo apt install --only-upgrade apache2 apache2-bin apache2-data apache2-utils
sudo apache2ctl configtest

Yapılandırma testi başarılıysa bakım aralığında servisi yeniden başlatın:

sudo systemctl restart apache2
sudo systemctl status apache2 --no-pager

RHEL / AlmaLinux / Rocky Linux standart paket kurulumu

İlgili paketler sisteminizde mevcutsa ve sağlayıcınız düzeltmeyi yayımladıysa:

sudo dnf upgrade httpd mod_http2
sudo apachectl configtest

Yapılandırma testi başarılıysa:

sudo systemctl restart httpd
sudo systemctl status httpd --no-pager

DirectAdmin, cPanel ve Plesk kullanan sunucular

Kontrol panelinin yönettiği Apache kurulumlarında panelin desteklediği paket veya derleme yöntemini kullanın. İşletim sistemi paket yöneticisiyle yapılan işlem, panelin kullandığı Apache kopyasını güncellemeyebilir.

DirectAdmin’de CustomBuild tarafından oluşturulan yapılandırma dosyalarına doğrudan yapılan değişiklikler sonraki yeniden üretimde silinebilir. Kalıcı düzenlemeler için desteklenen özel şablon veya include mekanizmasını kullanın.

Konteyner tabanlı kurulumlarda düzeltilmiş imajı kullanarak konteyneri yeniden oluşturun. Yalnızca mevcut konteyneri yeniden başlatmak, imaj içindeki Apache paketini güncellemez.

4. Güncelleme beklenirken HTTP/2 nasıl kapatılır?

Güncelleme hemen uygulanamıyorsa Apache’nin HTTP/2 bağlantısı kabul etmesini durdurmak geçici bir önlem olarak değerlendirilebilir. Bu işlem güvenlik yamasının yerine geçmez.

Etkin ana sunucu ve ilgili tüm VirtualHost yapılandırmalarında Protocols ayarlarını kontrol edin. HTTP/2’yi kapatmak için h2 ve h2c değerlerini kaldırarak yalnızca şu protokolü bırakın:

Protocols http/1.1

• Bu ayarı .htaccess dosyasına eklemeyin. Ana sunucu veya VirtualHost yapılandırmasında uygulayın.
• VirtualHost içindeki ayrı ayarlar genel sunucu ayarını geçersiz kılabilir. İlgili tüm siteleri kontrol edin.
• HTTPS, şifresiz HTTP ve alternatif portları değerlendirin.
• Önce yapılandırma testi yapın, ardından bakım aralığında Apache servisini yeniden başlatın.
• HTTP/2 gerektiren uygulama ve bağlantıları ayrıca test edin.

HTTP/1.1 üzerinden HTTPS hizmeti devam edebilir; SSL sertifikasının kaldırılması gerekmez. Bununla birlikte performans ve uygulama davranışı değişebilir. Düzeltme uygulandıktan sonra HTTP/2 yeniden açılmadan önce çalışan paketin yama durumu doğrulanmalıdır.

5. İşlem sonrası hangi kontroller yapılmalı?

1. Paket sürümü: Tam paket sürümünü sağlayıcınızın bu CVE için yayımladığı güvenlik bildirimiyle karşılaştırın.
2. Çalışan servis: Apache’nin yeniden başladığını ve eski süreçlerin kalmadığını doğrulayın.
3. Web siteleri: Ana sayfa, giriş, ödeme, API ve dosya yükleme gibi kritik işlemleri test edin.
4. Protokol: Geçici kapatma uygulandıysa ilgili Apache uçlarının HTTP/2 kabul etmediğini kontrol edin.
5. Günlükler: Yeni hata, beklenmeyen süreç sonlanması ve servis sorunlarını inceleyin.

curl ile bağlantı protokolünü kontrol etme

curl kurulumunuz HTTP/2 destekliyorsa aşağıdaki komutları kullanabilirsiniz. ornek.com adresini kendi alan adınızla değiştirin:

curl --version
curl --http2 -sS -o /dev/null -w 'HTTP version: %{http_version}\n' https://ornek.com/

2 sonucu test edilen bağlantıda HTTP/2 seçildiğini, 1.1 sonucu HTTP/1.1 kullanıldığını gösterir. Bu kontrol bir güvenlik açığı taraması değildir.

CDN veya ters vekil varsa görülen protokol ön katmana ait olabilir. Tek bir alan adındaki sonuç, diğer VirtualHost, IP adresi ve portların durumunu kanıtlamaz.

Apache açığı kapatılırken sık yapılan hatalar

• PHP veya WordPress güncellemesini Apache güncellemesiyle karıştırmak.
• CDN veya WAF kullanımını tek başına yeterli koruma kabul etmek.
• Paketi güncelleyip çalışan eski Apache süreçlerini yenilememek.
• Yalnızca bir site üzerinde HTTP/2’yi kapatmak.
• Kontrol panelinin yeniden oluşturacağı dosyalarda kalıcı olmayan değişiklik yapmak.
• Dağıtımın güvenlik bildirimine bakmadan yalnızca sürüm numarasına göre karar vermek.

Sık sorulan sorular

CVE-2026-119618 hangi Apache sürümlerini etkiliyor?

Apache’nin resmî kaydına göre 2.4.55 ile 2.4.70 arasındaki sürümler etkilenmektedir. Dağıtım paketlerinde uygulanmış güvenlik yamaları ayrıca değerlendirilmelidir.

Hangi sürüme güncellemeliyim?

Düzeltme Apache HTTP Server 2.4.71 sürümünde yayımlanmıştır. Sağlayıcınızın desteklediği, bu düzeltmeyi içeren güncel sürümü veya yamalı dağıtım paketini kullanın.

HTTP/2’yi kapatmak kalıcı çözüm mü?

Hayır. HTTP/2 kullanımını durdurmak geçici önlem olarak değerlendirilebilir. Kalıcı çözüm güvenlik düzeltmesini içeren yazılımın kurulması ve çalıştırılmasıdır.

HTTP/2 kapatıldığında HTTPS çalışır mı?

Evet. HTTPS, HTTP/1.1 üzerinden de çalışabilir. Sertifika ve TLS ayarlarınızı koruyun; değişiklikten sonra erişimi ve uygulama işlevlerini test edin.

Paylaşımlı hosting müşterileri komutları uygulamalı mı?

Hayır. Sunucu düzeyindeki işlemler hizmet sağlayıcısı tarafından yürütülür. Komutlar kendi sunucusunu yöneten ve gerekli yetkilere sahip kişiler içindir.

Etkilenen sürümün bulunması sunucunun ele geçirildiğini gösterir mi?

Hayır. Bu durum risk bulunduğunu gösterebilir. İhlal değerlendirmesi için ayrıca erişim kayıtları, süreçler, dosyalar ve diğer teknik bulgular incelenmelidir.

Resmî kaynaklar

• Apache HTTP Server güvenlik kayıtları 
• Apache mod_http2 belgeleri 
• Apache Protocols yönergesi 
• DirectAdmin Apache yapılandırma belgeleri 

Hazırlanma tarihi: 12 Kasım 2026. Komutlar örnek niteliğindedir. Paket adları, servis adları ve yapılandırma yolları kuruluma göre değişebilir. Üretim ortamındaki işlemler yetkili sunucu yöneticisi tarafından uygulanmalıdır.