中文 ·
CVE-2026-119618 影响 Apache HTTP Server 2.4.55 至 2.4.70 版本，可能导致任意代码执行。Apache 已发布 2.4.71 版本以修复该问题。
作者 Hermes Vector · Read in English
Apache HTTP Server HTTP/2 模块中的竞态条件为远程未认证攻击者提供了一条在受影响服务器上运行代码的路径。该漏洞被追踪为 CVE-2026-119618，影响 2.4.55 至 2.4.70 版本中的 mod_http2 模块。
据 LavX News 报道，该缺陷允许远程未认证攻击者通过 HTTP/2 模块中的缺陷破坏 Apache HTTP Server 的堆内存。这种破坏可能导致以 Web 服务器进程权限执行的任意代码。
目前不存在公开利用代码，也没有报告显示在野外被利用。
| 产品 | 受影响版本 | 已修补版本 |
|---|---|---|
| Apache HTTP Server | 2.4.55 至 2.4.70 | 2.4.71 及更新版本 |
| mod_h2 模块 (GitHub) | 2.0.8 至 2.0.42 | 2.0.42 之后的版本 |
被攻陷的 Apache 实例可为攻击者在容器化或虚拟化工作负载中提供立足点。从那里，攻击者可以移动到相邻的微服务或访问云元数据端点。
研究数据显示了暴露的规模：64% 的云环境包含易受 CVE-2026-119618 影响的资源，51% 的云环境运行着公开暴露的实例。这些数字未计入配置细节。
升级部署。将 Apache HTTP Server 安装更新到 2.4.71 或更高版本。管理来自 GitHub 的独立 mod_h2 构建的团队应将模块升级到 2.0.42 之后的版本。
暂时禁用 HTTP/2。如果团队无法应用修补程序，他们可以通过将服务器限制为 HTTP/1.1 来消除攻击向量。编辑配置文件（如 httpd.conf）以移除 h2 和 h2c 引用：
Protocols http/1.1
进行此更改后，重启服务器并确认客户端回退到 HTTP/1.1。团队应将此步骤视为权宜之计，并安排升级到已修补的版本。
来源：Apache HTTP Server 中的关键 RCE 漏洞：您需要知道的一切 | Wiz 博客，作者 Merav Bar，wiz.io，2026 年 11 月 11 日
来源（英文）
本文由人工智能翻译自英文原文，并经过自动审核，确保与原文意思一致。来源已用英文核实。
No comments yet. Start the discussion.