---
cve: "CVE-2026-71290"
severity: "CRITICAL"
cvss: 9.1
epss: "0.3%"
vendor: "Apache Software Foundation"
kev: false
exploited: false
published: "2026-08-11 21:17:51"
tags: [cve, security, critical]
source: tsecurity.de CVE-Dossier
exported: "2026-10-27T02:41:53+01:00"
---

# CVE-2026-71290

> 9.1 CRITICAL

## Beschreibung

Improper TLS hostname verification vulnerability in Apache HttpComponents Client 5.4 or newer. HostnameVerificationPolicy#BUILTIN setting has no effect when used with the async version of HttpClient. An attacker that can intercept and modify traffic between the client and the server can impersonate the server by presenting a valid certificate for a different domain. 


Please note the classic version of HttpClient is not affected by this vulnerability. 

Affected users are recommended to upgrade to at least version 5.6.4, which fixes the issue.

## CNA-Record (Kanon, cvelistV5)

- CNA: **apache**
- State: PUBLISHED
- Stand: 2026-09-24 03:55:24

## CISA-Anreicherung (vulnrichment/ADP)

- CISA-SSVC (Coordinator, v2.0.3):
  - Exploitation: **none**
  - Automatable: **yes**
  - Technical Impact: **total**

## CVSS-Vektor

```
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
```

| Metrik | Wert | Bewertung |
|---|---|---|
| AV Angriffsvektor | Netzwerk | bad |
| AC Komplexität | Gering | bad |
| PR Privilegien | Keine | bad |
| UI Interaktion | Keine | bad |
| S Scope | Unverändert | good |
| C Vertraulichkeit | Hoch | bad |
| I Integrität | Hoch | bad |
| A Verfügbarkeit | Keine | good |

## Schwachstellen-Klasse

- **CWE-295** — Improper Certificate Validation
  The product does not validate, or incorrectly validates, a certificate.

## Angriffsmuster (CAPEC)

- [CAPEC-459 — Creating a Rogue Certification Authority Certificate](https://capec.mitre.org/data/definitions/459.html) _(Severity: Very High)_
- [CAPEC-475 — Signature Spoofing by Improper Validation](https://capec.mitre.org/data/definitions/475.html) _(Severity: High)_

## Patch verfügbar (OSV)

- 36508cead5c4388d04d20aa7efad5a68595631a0 (Commit)

## BSI-Hinweise (deutsch)

- [Oracle Communications: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-3403) — _BSI-Einstufung: hoch_
  Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
- [Apache HttpComponents: Schwachstelle ermöglicht Umgehen von Sicherheitsvorkehrungen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-2782) — _BSI-Einstufung: mittel_
  Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache HttpComponents ausnutzen, um Sicherheitsvorkehrungen zu umgehen.

## Referenzen

- <https://lists.apache.org/thread/bhf7g2zwpom2ohvwjjjlonc93br2s8vq>
- <http://www.openwall.com/lists/oss-security/2026/08/13/6>

---
_Exportiert aus dem [tsecurity.de CVE-Dossier](https://tsecurity.de/sicherheitsluecken/cve-2026-71290/) · Datenquellen: EUVD (ENISA), NVD, OSV, CISA KEV, FIRST EPSS, Exploit-DB, BSI WID (CSAF)_