Eine kritische Sicherheitslücke in Apache HTTP Server 2 erfordert sofortige Aufmerksamkeit von IT-Administratoren. Die Schwachstelle ermöglicht es Angreifern, Schadcode in anfällige Systeme einzuschleusen und damit potenziell volle Kontrolle über betroffene Webserver zu erlangen.
Die gute Nachricht: Nur Apache-Installationen, bei denen das HTTP/2-Modul aktiv ist, sind von der Lücke betroffen. Wer HTTP/2 nicht nutzt oder nicht aktiviert hat, ist nicht gefährdet. Allerdings ist HTTP/2 heutzutage weit verbreitet und in vielen Standard-Konfigurationen aktiv, weshalb die Bedrohung nicht zu unterschätzen ist.
Ein funktionierender Exploit ist theoretisch möglich, in der Praxis aber aufwendig zu entwickeln und auszunutzen. Dennoch sollten betroffene Unternehmen nicht zögerlich werden. Die Apache-Foundation hat zeitnah Sicherheits-Updates bereitgestellt, die die Schwachstelle beheben.
Für KMU-IT-Teams bedeutet dies: Bestandsaufnahme machen, welche Apache-Versionen und Module im Einsatz sind, dann schnellstmöglich auf die neuen Versionen aktualisieren. Besonders bei extern gehosteten oder Cloud-basierten Webservern sollte man mit Hosting-Providern klären, dass diese die Patches bereits eingespielt haben. Eine Verzögerung dieser Updates ist nicht ratsam, da mit zunehmender Zeit die Wahrscheinlichkeit steigt, dass Exploit-Code öffentlich verfügbar wird und damit auch weniger technisch versierte Angreifer die Lücke nutzen können.
Die Aktualisierung ist in aller Regel ohne Dienstunterbrechung möglich und sollte zeitnah eingeplant werden.