Apache 修复 HTTP Server 严重 RCE 漏洞，由 Anthropic 与谷歌分别发现

Apache 已修复 HTTP Server 中一个可导致未授权远程代码执行（RCE）的严重漏洞，编号 CVE-2026-119618，影响 2.4.55 至 2.4.70 版本，11 月 11 日发布的 2.4.71 版本完成修补。该漏洞由 Anthropic 与谷歌的研究人员分别独立发现。

漏洞位于处理 HTTP/2 流量的 mod_http2 模块，涉及多线程不当访问共享资源的竞态条件，可能破坏服务器内存。Red Hat 给出的 CVSS 评分为 9.8，并指出仅启用 HTTP/2 的服务器受影响。

漏洞基本情况

问题根源是一处竞态条件：多个线程对共享资源进行了不当访问，可能破坏服务器内存。

Apache 于 11 月 11 日发布 2.4.71 版本完成修补，受影响版本区间为 2.4.55 至 2.4.70。Red Hat 在分析中指出，攻击者可远程、在无需认证的情况下利用该问题执行任意命令，并取得对服务器进程的控制。

发现与报告经过

该漏洞由两家机构的研究人员分别独立发现。Apache 将最早的报告归功于 Anthropic 的 OSS Scanner，其报告时间为 10 月 26 日。

随后，谷歌云漏洞研究团队的 Anthony Weems 与 Simon Scannell 于 11 3 日独立报告了同一漏洞。两家机构的发现路径彼此独立，最终指向同一个 mod_http2 缺陷。

风险范围与数据

Red Hat 为该漏洞给出的 CVSS 评分为 9.8，属于严重级别。其公告明确，只有启用了 HTTP/2 的服务器受影响，仅提供 HTTP/1.1 服务的服务器不存在该风险。

云安全公司 Wiz 统计称，其数据中 64% 的云环境包含运行受影响 Apache 版本的资源，其中 51% 存在公网暴露的实例。Wiz 同时提示，这些数字未考虑服务器配置差异，因此并不等同于可被利用的安装数量。

关于实际利用情况，Red Hat 表示公开研究已演示了针对启用 mod_http2 服务器的可靠利用方式，但未在公告中点明该研究来源。Wiz 则指出，其博客于 11 月 11 日发布时尚无可用利用代码，也未出现野外利用的报告。GitHub 上一个公开的概念验证据称可复现内存破坏和 Apache 进程崩溃，但并未演示远程代码执行。

修复建议与临时措施

建议组织安装 Apache HTTP Server 2.4.71，或采用厂商提供的对应软件包。若无法立即部署更新，关闭 HTTP/2 可暂时阻止利用。

Defiant 还提醒，WordPress 的安全更新无法解决该问题，因为缺陷位于底层 Web 服务器，插件或主题层面的修补不涉及这一层。

同批修复的其他漏洞

2.4.71 版本同时修复了另外两个漏洞。其一是 CVE-2026-106023，被列为重要级别，可导致服务器进程崩溃。

其二是 CVE-2026-109163，属于低严重级别的栈缓冲区溢出问题。两者与 mod_http2 的严重漏洞一并在此次版本更新中得到处理。

要点

漏洞编号 CVE-2026-119618，CVSS 评分 9.8
影响 Apache HTTP Server 2.4.55 至 2.4.70
Anthropic OSS Scanner 于 10 月 26 日报告
谷歌云漏洞研究团队 11 月 3 日独立报告
仅启用 HTTP/2 的服务器受影响