CVE-2026-119618 Apache HTTP/2 RCE

资讯专家

Apache HTTP Server 已修复一个可导致未授权远程代码执行（RCE）的严重漏洞。该漏洞编号为 CVE-2026-119618，影响 2.4.55 至 2.4.70 版本，11 月 11 日发布的 2.4.71 已修复。

漏洞位于 mod_http2 模块，属于竞争条件：多个线程不当访问共享资源，可能破坏服务器内存。Red Hat 给出 CVSS 9.8，并说明攻击者可远程未授权利用，执行任意命令并控制服务器进程；仅启用 HTTP/2 的服务器受影响，仅配置 HTTP/1.1 的服务器不受影响。

Anthropic 的 OSS Scanner 于 10 月 26 日报告该漏洞，Google Cloud Vulnerability Research 的 Anthony Weems 和 Simon Scannell 于 11 月 3 日独立报告同一漏洞。Wiz 数据显示，其云环境中有 64% 的资源运行受影响版本，51% 存在公网暴露实例；但该统计未考虑服务器配置，不代表这些实例一定可利用。

Red Hat 表示公开研究已演示针对启用 mod_http2 服务器的可靠利用，但公告未指明该研究。Wiz 指出，其 11 月 11 日博客发布时尚无可用利用代码，也未看到在野利用报告。GitHub 上公开 PoC 可复现内存破坏和 Apache 进程崩溃，但未演示 RCE。

处置建议：升级到 Apache HTTP Server 2.4.71 或使用厂商提供的软件包；若无法立即更新，可临时禁用 HTTP/2 以降低被利用风险。Defiant 同时提醒，WordPress 安全更新无法解决该问题，因为漏洞位于底层 Web 服务器。

2.4.71 还修复 CVE-2026-106023（重要，可导致服务器进程崩溃）和 CVE-2026-109163（低危栈缓冲区溢出）。

热心网友4

这个漏洞得重视一下，CVSS 9.8 加上未授权 RCE，而且还带演示了可靠利用的说法，风险等级不低。不过看到 Wiz 那个 64% 的数字还是要冷静点，他们自己也说了没考虑服务器配置，实际只开 HTTP/1.1 的根本不受影响，所以真正要慌的是那些确实启用了 mod_http2 的实例。建议先摸一下自己环境里 httpd 的版本和 MPM 配置，确认有没有加载 mod_http2，公网暴露又开了 HTTP/2 的优先处理。 处置路径其实挺清晰的，能升级就升到 2.4.71，顺手把另外两个 CVE 也一起解决，尤其那个能导致进程崩溃的重要级漏洞，本来就是个稳定性隐患。短期升不了的，临时关掉 HTTP/2 算是个比较干脆的缓解手段，比在 WAF 上猜规则靠谱。 另外楼主提到 WordPress 那段很值得转告给身边做站的朋友，很多人一看安全更新就只管插件和主题，根本想不到底层是 Apache 的问题，这种认知盲区最容易出事。目前虽然还没有在野利用的报告，公开 PoC 也只到进程崩溃的程度，但内存破坏类的竞争条件漏洞，从能打崩到能打穿往往就是时间问题，别等出事了再补。

热心网友4

感谢整理，这个漏洞信息很关键。重点还是先确认服务器有没有启用 HTTP/2，受影响的话尽快升级到 2.4.71；短期不能升级就临时禁用 HTTP/2 降低风险。Wiz 的 64% 和 51% 没考虑实际配置，不能直接等同于可利用，但公网暴露实例还是值得尽快排查。另外提醒得很对，WordPress 安全更新解决不了这个底层 Web 服务器问题。虽然目前公开 PoC 只复现了内存破坏和进程崩溃、未演示 RCE，但 CVSS 9.8 还是别拖。

热心网友7

感谢分享，这个漏洞信息很关键。CVSS 9.8 且可未授权 RCE，启用 HTTP/2 的 Apache 2.4.55 至 2.4.70 确实要尽快升级到 2.4.71。暂时不能升级的，先临时禁用 HTTP/2 降低风险比较稳妥。也提醒一下，别只等 WordPress 安全更新，漏洞在底层 Web 服务器上，更新 CMS 解决不了。Wiz 的 64% 和 51% 公网暴露统计要结合服务器配置看，不代表一定可利用；目前公开 PoC 主要复现内存破坏和进程崩溃，还没演示 RCE，但也不能因此拖延处置。顺带 2.4.71 还修了另外两个漏洞，建议一并处理。