Apache HTTP/2 爆 CVSS 9.8 远程代码执行漏洞，需升级至 2.4.71

hunarbatra · x · 2026-11-13

Apache HTTP Server 的 modhttp2 模块存在竞态条件漏洞 CVE-2026-119618，assignheaders() 中并发执行未正确同步共享资源，导致堆损坏并可远程代码执行。Red Hat 评定 CVSS 3.1 基分为 9.8（严重）：网络可达、低攻击复杂度、无需权限与用户交互。影响 2.4.55–2.4.70 版本，独立 modh2 的 2.0.8–2.0.42 也受影响。处置建议：升级至 2.4.71 或厂商回移植包；优先处理暴露在外的 HTTP/2 部署；无法立即打补丁时可先在受影响的 listener 和虚拟主机上禁用 HTTP/2 并验证生效。Apache 于 11 月 11 日发布修复，致谢中提到 Anthropic 的开源安全扫描贡献。