HTTP/2 堆内存破坏
mod_http2 的 assign_headers() 存在竞态，可能导致远程代码执行。
Apache HTTP Server 2.4.71 修复 HTTP/2 堆内存破坏漏洞
Apache 修复了 mod_http2 中可能导致远程代码执行的竞态条件。上游 httpd 2.4.55–2.4.70 及独立 mod_h2 2.0.8–2.0.42 受影响。同批发版还修复了 mod_md 和 mod_vhost_alias 中的两个漏洞。
- 披露时间
- 2026年11月11日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 3 个 CVE
- 波及范围
- 通过受影响 mod_http2 接受 HTTP/2 连接的 Apache 服务器。其余两个 CVE 涉及其他模块。
- Apache HTTP Server · HTTP/2 · RCE
- 在野利用
- 未知
- Apache 已发布修复。已查阅的来源未证实在野利用。
发生了什么
CVE-2026-119618 是 HTTP/2 请求头处理中的竞态。能访问受影响 HTTP/2 监听器的远程客户端可触发内存破坏，进而可能在服务器进程中执行代码。Apache 列出的范围为 httpd 2.4.55 至 2.4.70、独立 mod_h2 2.0.8 至 2.0.42。Red Hat 指出，启用 h2 或 h2c 的服务器存在该漏洞的暴露面。独立项目已归档，请使用 Apache httpd 随附的修复模块，或由下游供应商确认已修复的构建。
同批还修复了 2.4.30 至 2.4.70 的 mod_md 子进程崩溃漏洞，以及 2.4.69 和 2.4.70 的 mod_vhost_alias 单字节栈覆写漏洞，暴露取决于各自模块。下游回移补丁后版本号仍可能较旧，请按供应商公告核对实际软件包版本。
马桶里有什么
mod_md 子进程崩溃
处理 HTTP 请求时的空指针解引用可导致子进程崩溃。
mod_vhost_alias 栈覆写
模块可能覆写栈中的一个字节。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Apache HTTP Server | 2.4.71 |
案发时间线
2026年11月11日
Apache 发布 2.4.71 及三个漏洞的修复
上游公告将 CVE-2026-119618 定为严重，mod_md 和 mod_vhost_alias 的修复随同发版。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Apache 2.4.71 安全公告一手来源列出三个 CVE、受影响版本及发版日期。
- Apache CNA 记录一手来源确认竞态、远程代码执行影响及上游与独立模块的受影响版本。
- 独立 mod_h2 维护者仓库一手来源独立仓库已归档，维护者指引用户转向 Apache httpd。
- Red Hat CVE-2026-119618 分析一手来源说明 HTTP/2 可达这一前提及线程安全缺陷。