Sicherheitsforscher warnten am 21. Juni 2026 vor kritischen Schwachstellen im Apache HTTP Server, die Angreifern den Zugriff auf interne Netzwerke ermöglichen. Die Lücken betreffen Server-Side Request Forgery (SSRF) über Windows UNC-Pfade sowie Filterumgehungen durch Mod_ssl-Sitzungswiederaufnahmen, was laut Berichten von Boerse Express die Sicherheit interner Dienste gefährdet.
Windows UNC-Pfade und Mod_ssl-Umgehungen
Zwei zentrale Angriffsvektoren stehen im Fokus der technischen Berichte vom 21. Juni 2026. Der erste ermöglicht eine Server-Side Request Forgery (SSRF) über Windows UNC-Pfade. Eine SSRF-Schwachstelle tritt auf, wenn ein Angreifer einen Server dazu manipulieren kann, Anfragen an Ziele zu senden, die für den Angreifer selbst nicht erreichbar sind. In diesem Fall werden Windows UNC-Pfade (Universal Naming Convention), die dem Format ServernameFreigabe folgen, missbraucht. Hierbei zwingen Angreifer den Server dazu, Anfragen an beliebige Ziele zu senden, was interne Netzwerkscans und den Zugriff auf geschützte Dienste erlaubt, da der Server als vertrauenswürdiger Proxy innerhalb der internen Infrastruktur agiert.
Der zweite Schwachpunkt liegt bei der Umgehung von Eingangsfiltern durch Mod_ssl-Sitzungswiederaufnahmen. Die Sitzungswiederaufnahme (Session Resumption) ist ein Standardmechanismus in TLS/SSL, der die Latenz verringert, indem er bestehende Sicherheitsparameter für neue Verbindungen wiederverwendet, anstatt einen vollständigen Handshake durchzuführen. Hacker nutzen die spezifische Art der SSL-Sitzungsfortsetzung aus, um bestehende Filterregeln zu ignorieren und schädliche Daten direkt auf den Server einzuschleusen.
Die Dringlichkeit dieser Warnungen unterstreicht ein alarmierender Befund: Sicherheitsmonitore registrierten noch am 21. Juni 2026 aktive Installationen der veralteten Version 2.4.59 des Apache HTTP Servers. Dies macht regelmäßige Konfigurationsaudits für Unternehmen unerlässlich, um sicherzustellen, dass keine Legacy-Systeme als Einfallstor dienen.
Schutzmaßnahmen durch Spring Boot 4.1
Parallel zu den Apache-Lücken bietet das Java-Ökosystem Abwehrmöglichkeiten. Am 10. Juni 2026 veröffentlichte das Spring Boot Framework die Version 4.1, die spezifische Mechanismen gegen SSRF-Angriffe einführt.
Im Zentrum dieser Absicherung steht der sogenannte InetAddressFilter. Dieses optionale Werkzeug blockiert Anfragen an sensible Adressbereiche, konkret:
- Interne Netzwerkbereiche gemäß RFC 1918. Dieser Standard definiert private IP-Adressbereiche (10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16), die nicht global routbar sind und daher typischerweise für lokale Unternehmensnetzwerke genutzt werden.
- AWS-Metadaten-Dienste im Adressblock 169.254.0.0/16. Diese Adressen werden in Cloud-Umgebungen verwendet, um Instanz-Informationen und temporäre Sicherheits-Token abzurufen, was ein primäres Ziel bei SSRF-Angriffen in der Cloud ist.
Neben der Sicherheit bringt Spring Boot 4.1 eine native gRPC-Unterstützung sowie eine Anhebung der Kotlin-Baseline auf Version 2.3. Für Organisationen, die noch Spring Boot 3.5 einsetzen, läuft die Zeit: Der Support für diese Version endet am 30. Juni 2026.
Versionsstand und Architektur des Apache HTTP Servers
Der Apache HTTP Server bleibt eine tragende Säule der globalen Web-Infrastruktur, insbesondere als Teil des LAMP-Stacks (Linux, Apache, MySQL, PHP). Laut GeeksforGeeks zeichnet sich Apache durch ein prozessbasiertes Design aus. In diesem Modell wird für jede Anfrage ein eigener Prozess oder Thread zugewiesen, was eine hohe Stabilität bei der Verarbeitung dynamischer Inhalte bietet. Im Gegensatz dazu basieren Alternativen wie Nginx auf einer ereignisgesteuerten Architektur (Event-driven), die mit einer geringen Anzahl von Worker-Prozessen tausende gleichzeitige Verbindungen effizienter verwalten kann und bei extrem hohem Traffic überlegen ist.
Die aktuelle stabile Version des Servers ist die 2.4.68, wie das Projekt auf httpd.apache.org ausweist. Für den Betrieb eines TLS 1.3 Webservers in Verbindung mit OpenSSL 1.1.1 ist mindestens die Version 2.4.43 erforderlich. TLS 1.3 verbessert die Sicherheit und Geschwindigkeit gegenüber seinen Vorgängern durch die Eliminierung veralteter kryptografischer Algorithmen und einen verkürzten Handshake.
Ein kritisches Risiko bleibt die Nutzung veralteter Software. Die Version 2.2 des Apache HTTP Servers hat das Ende seines Lebenszyklus (End-of-Life) erreicht; die letzte Veröffentlichung erfolgte bereits im Juli 2017. Für diese Version werden keine Patches oder Sicherheitsupdates mehr bereitgestellt, was sie hochgradig anfällig für moderne Exploits macht.
Kontext der globalen Bedrohungslage: Microsoft und Splunk
Die SSRF-Problematik im Apache-Server ist Teil einer breiteren Welle kritischer Sicherheitslücken. Microsoft schloss beispielsweise beim Patch Tuesday – dem traditionellen Termin für Sicherheitsupdates am zweiten Dienstag jedes Monats – am 10. Juni 2026 rekordverdächtige 200 Schwachstellen. Davon waren 33 als kritisch eingestuft, darunter sechs Zero-Day-Exploits, ein Secure-Boot-Bypass sowie eine aktiv ausgenutzte Treiber-Lücke.
Gleichzeitig identifizierte die US-Cybersicherheitsbehörde CISA eine hochkritische Lücke in Splunk Enterprise (CVE-2026-20253) mit einem CVSS-Score von 9,8. Das Common Vulnerability Scoring System (CVSS) bewertet Risiken auf einer Skala von 0 bis 10, wobei ein Wert von 9,8 als „Kritisch“ eingestuft wird. Dieser Fehler erlaubt eine Remote Code Execution (RCE) ohne Authentifizierung über einen PostgreSQL-Seitendienst. RCE gilt als eine der gefährlichsten Schwachstellenarten, da sie es Angreifern ermöglicht, beliebigen Code aus der Ferne auf dem Zielsystem auszuführen und so die vollständige Kontrolle über den Server zu erlangen.
| Software | Schwachstelle / CVE | Risiko / Detail | Status/Frist |
|---|---|---|---|
| Apache HTTP Server | SSRF / Filter-Bypass | Zugriff auf interne Netze | Update auf 2.4.68 empfohlen |
| Splunk Enterprise | CVE-2026-20253 | RCE (CVSS 9,8) | Frist für US-Behörden: 21. Juni |
| Microsoft Produkte | Diverse (200 Lücken) | Zero-Days, Boot-Bypass | Patch Tuesday 10. Juni |
Betroffen bei Splunk sind die Versionen 10.0.0 bis 10.0.6 sowie 10.2.0 bis 10.2.3. Während Splunk Cloud nicht betroffen ist, müssen lokale Installationen auf die Versionen 10.0.7, 10.2.4 oder 10.4.0 aktualisiert werden. Als Notfallmaßnahme empfiehlt die Deaktivierung des PostgreSQL-Seitendienstes, was jedoch Funktionen wie den Edge Processor einschränkt. Die CISA setzte für US-Bundesbehörden eine strikte Frist bis zum 21. Juni zur Behebung dieser Lücke, um systemische Risiken in der staatlichen Infrastruktur zu minimieren.
Find more reporting in our Nachrichten section.
