Apache HTTP Server 曝 HTTP/2 严重 RCE 漏洞
Apache HTTP Server 的 mod_http2 模块被披露存在严重竞态条件漏洞 CVE-2026-119618，位于 assign_headers() 函数中，可导致堆内存破坏并实现远程未认证任意代码执行。目前尚无公开利用代码与在野利用报告，官方建议通过禁用 h2/h2c 或限制为 HTTP/1.1 缓解。
报道正文
本文目录6 个章节
Apache HTTP Server 的 HTTP/2 模块（mod_http2）中被发现存在一个严重的同步漏洞（CVE-2026-119618）。该缺陷源于 assign_headers() 函数在处理共享资源时的并发执行竞态条件。若被成功利用，远程未认证攻击者可通过破坏堆内存来实现任意代码执行（RCE）。
截至本文发布时，尚无可用漏洞利用程序，也未发现野外利用的报告。
CVE-2026-111497 是什么？
CVE-2026-119618 是一个严重的高危漏洞，涉及 Apache HTTP Server 中的竞态条件，由 Anthropic 和 Google Cloud 漏洞研究团队独立发现。
具体而言，该缺陷存在于 HTTP/2 模块（mod_http2）的 assign_headers() 函数中。由于在执行共享资源的并发线程时同步不当，攻击者可触发堆内存破坏。这种内存破坏最终可被利用来在托管服务器上实现 RCE，使未授权的威胁行为者能够以 Web 服务器进程的权限执行任意命令。
Wiz 研究数据：云环境面临的风险是什么？
在云环境中，运行容器化或虚拟化工作负载的受攻陷 Apache 实例可作为横向移动的入口点，可能暴露相邻的微服务或云元数据端点。
根据 Wiz 数据，64% 的云环境存在易受 CVE-2026-119618 影响的资源，51% 的云环境存在公开暴露的实例。请注意，此数据未将配置因素纳入考量。
哪些产品受到影响？
该漏洞影响在下表所列版本范围内使用 Apache HTTP Server 上 HTTP/2 功能的部署：
| 厂商 | 产品 | 受影响版本 | 已修复版本 |
|---|---|---|---|
| Apache Software Foundation | Apache HTTP Server | 2.4.55 至 2.4.70 | 2.4.71 及更高版本 |
| GitHub（开源） | mod_h2 模块 | 2.0.8 至 2.0.42 | 2.0.24 及更高版本 |
安全团队应采取哪些行动？
安全运营和工程团队应执行以下修复和缓解步骤：
1. 升级部署
- 升级 Apache HTTP Server： 将受影响的安装更新至 Apache HTTP Server 2.4.71 或更高版本。此版本修复了
assign_headers()中的竞态条件。 - 更新独立模块： 如果管理来自 GitHub 的独立 mod_h2 构建，请将模块升级至高于 2.0.42 的版本。
2. 实施临时缓解措施
如果由于运营限制无法立即打补丁，请暂时禁用 HTTP/2 支持以消除攻击向量。
- 编辑配置文件（如
httpd.conf），通过移除 h2 和 h2c 引用来将活动协议限制为 HTTP/1.1：
# Restrict protocols to HTTP/1.1
Protocols http/1.1Wiz 客户可以使用 Wiz Threat Center 中预构建的查询和公告，在其环境中搜索存在漏洞的实例。