Apache HTTP Server: Kritische SSRF-Lücke gefährdet interne Netzwerke
24.06.2026 - 17:57:11 | boerse-global.de
Sicherheitsforscher warnen vor einer Methode, mit der Angreifer interne Netzwerke anzapfen können – und das ganz ohne direkten Zugriff.
SSRF-Angriff über Windows UNC-Pfade
Das Problem liegt in der Verarbeitung von Windows UNC-Pfaden (Universal Naming Convention). Wie die Sicherheitsplattform Vigilance.fr in einer technischen Analyse aufzeigt, können Angreifer den Webserver dazu bringen, Anfragen an beliebige interne oder externe Ziele zu senden. Fachleute sprechen hier von Server-Side Request Forgery (SSRF) – einer Technik, bei der der Server selbst zum Angriffswerkzeug wird.
Obwohl die Analyse bereits vom Oktober 2025 stammt, ist die Gefahr keineswegs gebannt. Besonders betroffen sind Unternehmen mit gemischten Infrastrukturen, die Windows-Komponenten betreiben. Die Schwachstelle erlaubt es, Sicherheitsgrenzen zu umgehen und auf Netzwerkressourcen zuzugreifen, die eigentlich nicht für die Außenwelt bestimmt sind.
Kritische Patches für mod_http2
Erst am Montag dieser Woche, dem 22. Juni 2026, hat Amazon Linux 2023 ein Sicherheitsupdate (ALAS2023-2026-1859) veröffentlicht. Es schließt zwei gravierende Lücken im mod_http2-Modul des Apache HTTP Servers – betroffen sind die Versionen 2.4.55 bis 2.4.67.
Die erste Schwachstelle (CVE-2026-48913) ist ein sogenannter Use-after-Free-Fehler: Ein Angreifer kann auf bereits freigegebenen Speicher zugreifen und so unerwartetes Verhalten auslösen. Die zweite Lücke (CVE-2026-49975) ermöglicht einen Denial-of-Service-Angriff über manipulierte HTTP/2-Cookie-Zählungen.
Anzeige: Die SSRF-Lücke über Windows UNC-Pfade ist nicht die einzige Gefahr: Auch Use-after-Free und DoS-Lücken im mod_http2-Modul bedrohen Ihre Infrastruktur. Unser Report liefert die drei wichtigsten Handlungsfelder – von der Erkennung bis zum Patch. Jetzt kostenlosen SSRF-Sicherheitsreport anfordern
SSRF wird zur Standardwaffe
Die Warnungen kommen nicht von ungefähr. Bereits am vergangenen Wochenende (20. bis 21. Juni) haben Sicherheitsexperten automatisierte Angriffe auf eine kritische SSRF-Lücke in Cisco Unified Communications Manager (CVE-2026-20230) beobachtet.
Die Angreifer nutzten die Schwachstelle, um einen nicht autorisierten Apache-Axis-Dienst zu installieren. Über diesen schmuggelten sie Webshells ein und führten Befehle mit Root-Rechten aus. Zwar handelt es sich bei der Cisco-Lücke um ein separates Problem – doch das Muster ist klar: SSRF wird zunehmend zur ersten Stufe komplexer Angriffsketten.
Weitere Baustellen im Apache-Universum
Anzeige: SSRF wird zur Standardwaffe für komplexe Angriffsketten – wie der aktuelle Cisco-Angriff zeigt. Unternehmen mit gemischten Infrastrukturen sind besonders gefährdet. Unser Monitoring-Playbook hilft, ungewöhnlichen Datenverkehr frühzeitig zu erkennen. Monitoring-Playbook jetzt sichern
Doch damit nicht genug: Sicherheitsforscher haben weitere Probleme im Apache-Paket identifiziert. Dazu gehören ein Ingress-Filtering-Bypass über die mod_ssl-Session-Wiederaufnahme sowie ein Memory-Leak in der HTTP/2-Implementierung, der ebenfalls für Denial-of-Service-Angriffe genutzt werden kann.
Administratoren sollten umgehend alle verfügbaren Patches ihrer Betriebssystemanbieter einspielen. Zudem empfiehlt sich eine genaue Überwachung des ausgehenden Datenverkehrs – ungewöhnliche Verbindungen können auf aktive SSRF-Angriffe hindeuten.
