Am 11. November 2026 hat das Apache-Projekt eine kritische Sicherheitslücke im HTTP/2-Modul des Apache HTTP Server veröffentlicht (CVE-2026-119618). Betroffen sind die Versionen 2.4.55 bis 2.4.70. Unter Umständen kann ein Angreifer darüber ohne Anmeldung Code auf dem Server ausführen – vorausgesetzt, der Server bietet HTTP/2 an.
Was wir getan haben
Unsere Webserver haben das korrigierte Apache-Paket am Vormittag des 12. November erhalten und wurden neu gestartet. Anschließend haben wir jeden Server mit einem eigenen Prüfscript kontrolliert: installiertes Paket, enthaltene Sicherheitskorrektur, aktive HTTP/2-Konfiguration und ob tatsächlich der neue Programmcode läuft. Ergebnis: Alle geprüften Webserver sind abgesichert. HTTP/2 bleibt aktiv – Ihre Webseiten laden weiterhin schnell.
Müssen Sie etwas tun?
Nein. Die Lücke steckt im Webserver, nicht in Ihrer Webseite. Updates von WordPress, Plugins oder Themes haben darauf keinen Einfluss – die Korrektur ist Aufgabe des Hosters und bei uns erledigt. Unabhängig davon gilt wie immer: WordPress und Plugins aktuell halten und regelmäßig Backups anlegen.