Apache修補網頁伺服器HTTP/2模組的重大漏洞，64%雲端環境恐曝險

Apache軟體基金會（ASF）於11月11日發布Apache HTTP Server 2.4.71，修補3個資安漏洞，其中最受到關注的部分，是存在於HTTP/2模組mod_http2中的重大安全漏洞CVE-2026-119618，該弱點源自多執行緒處理HTTP/2請求時的競爭條件，可能導致記憶體堆疊損毀，讓未經驗證的遠端攻擊者進一步執行任意程式碼，取得網頁伺服器程序的控制權，影響2.4.55至2.4.70版Apache HTTP Server，以及2.0.8至2.0.42版mod_h2元件，Red Hat將其CVSS評分評為9.8分（滿分10分），資安公司Wiz估計，全球有64%雲端環境可能曝露於相關風險。

此弱點存在於mod_http2模組的assign_headers()函式功能，由於多個執行緒存取共用資源時缺乏適當同步機制，可能讓其中一個執行緒修改另一個執行緒正在使用的記憶體，造成記憶體毀損，進而形成遠端程式碼執行（RCE）風險。不過，Red Hat提及利用漏洞存在必要條件，那就是Apache HTTP Server必須啟用HTTP/2，只有使用HTTP/1.1的網頁伺服器不受影響。網站管理員若是無法及時升級Apache HTTP Server，Wiz呼籲應編輯特定的組態檔案，暫時移除h2與h2c的參照，以限制相關通訊使用HTTP/1.1因應。