Apache Traffic Server: mehrere kritische Sicherheitslücken (CVE-2026-111816, CVE-2026-111815, u. a.)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 21.10.2026: Zusätzlich wurden CVE-2026-111815, CVE-2026-111812, CVE-2026-111813, CVE-2026-111809 und CVE-2026-111811 (CVSS 10.0) bekannt. Details siehe unten.
Die Apache Software Foundation beschreibt mit CVE-2026-111816 eine Schwachstelle in Apache Traffic Server. Fehlerhafte 302-Antworten können unter bestimmten Bedingungen weitergeleitet werden, obwohl sie als Parse-Fehler abgewiesen werden sollten. Dadurch können zwei beteiligte Kommunikationspartner dieselbe HTTP-Antwort unterschiedlich interpretieren.
Die Schwachstelle ist mit CVSS 9.3 bewertet und als CWE-444 eingeordnet. Betroffen sind mehrere Versionsreihen von Apache Traffic Server. Korrigierte Releases stehen bereit.
Fehlerhafte Verarbeitung von 302-Antworten (CVE-2026-111816)
Laut der Apache Software Foundation kann Apache Traffic Server eine fehlerhafte 302-Antwort weiterleiten, obwohl diese als Parse-Fehler verworfen werden sollte. Der Sonderfall Transfer-Encoding: chunked umgeht dabei den vorgesehenen Ablehnungspfad.
Die Folge ist eine unterschiedliche Interpretation derselben Antwort durch zwei Kommunikationspartner. Wird eine solche Antwort gespeichert und später ausgeliefert, kann dies Cache Poisoning sowie eine Desynchronisierung des Response-Framings ermöglichen.
Cache Poisoning bezeichnet in diesem Zusammenhang das Speichern einer manipulierten Antwort im Cache. Nachfolgende Abrufe können dann den gespeicherten Inhalt erhalten. Bei einer Desynchronisierung des Response-Framings bestimmen beteiligte Systeme die Grenzen einer HTTP-Antwort unterschiedlich.
CVE-2026-111816 ist mit CVSS 9.3 bewertet (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:N).
Weitere kritische Schwachstellen (CVE-2026-111815, CVE-2026-111812, CVE-2026-111813, CVE-2026-111809, CVE-2026-111811)
Zusätzlich zu CVE-2026-111816 wurden fünf weitere kritische Schwachstellen in Apache Traffic Server bekannt gegeben. Diese sind jeweils mit CVSS 10.0 bewertet und betreffen dieselben Versionsreihen:
CVE-2026-111815
CVE-2026-111812
CVE-2026-111813
CVE-2026-111809
CVE-2026-111811
Der veröffentlichte CVSS-Vektor für diese Schwachstellen lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N und beschreibt einen netzwerkbasierten Angriff ohne vorherige Authentifizierung und ohne Nutzerinteraktion. Die Schwachstellen ermöglichen potenziell weitreichende Angriffe auf Vertraulichkeit und Integrität.
Alle fünf Schwachstellen sind in denselben korrigierten Versionen behoben wie CVE-2026-111816: 9.2.16, 10.1.5 und 10.2.1.
Betroffene Versionsbereiche und Korrekturen
Betroffen sind laut Apache Software Foundation folgende Versionsbereiche:
Apache Traffic Server von 8.0.0 bis 8.1.11
Apache Traffic Server von 9.0.0 bis 9.2.15
Apache Traffic Server von 10.0.0 bis 10.1.4
Apache Traffic Server 10.2.0
Die Schwachstellen sind in folgenden Versionen behoben:
9.2.16
10.1.5
10.2.1
Für die Priorisierung sind insbesondere öffentlich erreichbare Reverse-Proxy- und Caching-Instanzen relevant, die HTTP-Antworten entgegennehmen, speichern oder weitergeben. Zum Zeitpunkt der Veröffentlichung ist keine aktive Ausnutzung bekannt.
Prüfung und Priorisierung
Die Prüfung sollte den Patchstatus und die tatsächliche Betroffenheit der eingesetzten Apache-Traffic-Server-Instanzen erfassen. Sinnvoll ist eine Reihenfolge entlang der Erreichbarkeit und der Rolle des Dienstes im HTTP-Verarbeitungspfad:
Öffentlich erreichbare HTTP-Dienste mit Reverse-Proxy- oder Caching-Funktion erfassen.
Den Einsatz von Apache Traffic Server technisch prüfen.
Den installierten Versionsstand mit den betroffenen und korrigierten Versionsreihen abgleichen.
Betroffene Systeme priorisieren und die bereitgestellten Korrekturen einspielen.
Nicht eindeutig zugeordnete Systeme als Prüfauftrag dokumentieren.
Die Sichtbarkeit eines Dienstes reicht dabei nicht für die Feststellung aus, ob eine verwundbare Version eingesetzt wird. Der Versionsabgleich bleibt erforderlich.
Für Organisationen in Deutschland und Österreich, die unter die NIS-2-Richtlinie fallen — in Deutschland umgesetzt durch das NIS2UmsuCG, in Österreich durch das NISG — gehört die Prüfung exponierter Infrastrukturkomponenten wie Apache Traffic Server zu den zumutbaren technischen Schutzmaßnahmen. Schweizer Organisationen sind entsprechend dem revidierten Informationssicherheitsgesetz (ISG) und den Vorgaben des BACS angehalten, vergleichbare Sorgfaltspflichten einzuhalten. Soweit über betroffene Instanzen personenbezogene Daten übermittelt werden, kann zudem die 72-Stunden-Meldepflicht nach Art. 33 DSGVO relevant sein.
Sichtbarkeit externer Dienste und Lieferantenrisiken
Apache Traffic Server kann als öffentlich erreichbarer HTTP-Dienst unter einer Kunden-Domain betrieben werden. LocateRisk unterstützt dabei, extern sichtbare Systeme und eingesetzte Software zu erfassen. HTTP-Header, Servermerkmale und weitere öffentlich sichtbare Hinweise können eine technische Zuordnung für die anschließende Prüfung unterstützen.
Für die hier beschriebenen Schwachstellen lässt sich diese Sicht für die Priorisierung nutzen: Sichtbare Dienste mit Bezug zu Apache Traffic Server können den zuständigen Teams zur Prüfung des tatsächlichen Softwarestands zugeordnet werden. LocateRisk stellt jedoch nicht zwingend fest, ob eine konkrete verwundbare Version installiert ist.
Ergänzend kann kontinuierliches Vendor-Risk-Monitoring helfen, kritische Sicherheitsmeldungen bei Technologieanbietern und Abhängigkeiten im Blick zu behalten. Die technische Prüfung eigener öffentlich erreichbarer Dienste bleibt davon getrennt und sollte auf den jeweiligen Patchstand ausgerichtet sein.
Bin ich betroffen?
Betroffen ist Apache Traffic Server in den oben genannten Versionen; behoben wurden die Schwachstellen in 9.2.16, 10.1.5, 10.2.1. Wer wissen will, ob Apache Traffic Server in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-111816 bezeichnet eine Schwachstelle in Apache Traffic Server, bei der eine fehlerhafte 302-Antwort weitergeleitet wird, obwohl sie als Parse-Fehler hätte abgewiesen werden sollen. Der Sonderfall Transfer-Encoding: chunked umgeht den vorgesehenen Ablehnungspfad, was Cache Poisoning und eine Desynchronisierung des Response-Framings ermöglichen kann. Die Schwachstelle ist mit CVSS 9.3 als kritisch eingestuft und als CWE-444 klassifiziert.
Zusätzlich zu CVE-2026-111816 wurden fünf weitere kritische Schwachstellen veröffentlicht: CVE-2026-111815, CVE-2026-111812, CVE-2026-111813, CVE-2026-111809 und CVE-2026-111811. Diese sind jeweils mit CVSS 10.0 bewertet und betreffen dieselben Versionsreihen. Alle Schwachstellen sind in den Versionen 9.2.16, 10.1.5 und 10.2.1 behoben.
Betroffen sind Apache Traffic Server von 8.0.0 bis 8.1.11, von 9.0.0 bis 9.2.15, von 10.0.0 bis 10.1.4 sowie die Version 10.2.0. Die Schwachstellen sind in den Versionen 9.2.16, 10.1.5 und 10.2.1 behoben. Betroffene Systeme sollten auf eine dieser Versionen aktualisiert werden.
Zum Zeitpunkt der Veröffentlichung ist keine aktive Ausnutzung bekannt. Da es sich jedoch um netzwerkbasierte Angriffe ohne erforderliche Authentifizierung oder Nutzerinteraktion handelt, sollte die Aktualisierung betroffener Instanzen zeitnah erfolgen.
Stand: 21.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-111816
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français