Apache HTTP服务器存在严重RCE漏洞

:first-child]:text-primary-blue group-data-[theme=brand]:prose-blockquote:border-white group-data-[theme=brand]:prose-blockquote:text-white group-data-[theme=brand]:[&_cite]:text-secondary-blue-medium group-data-[theme=brand]:[&_cite>:first-child]:text-secondary-blue-light prose-code:rounded-md prose-code:bg-secondary-blue-medium/10 prose-code:p-1 prose-code:font-mono prose-code:font-normal prose-code:break-all prose-code:text-primary-blue prose-code:before:hidden prose-code:after:hidden group-data-[theme=brand]:prose-code:bg-secondary-blue-dark group-data-[theme=brand]:prose-code:text-secondary-blue-medium dark-research:prose-figcaption:text-gray-light dark-research:marker:text-pink-research dark-research:prose-headings:text-white dark-research:prose-a:text-pink-research dark-research:prose-blockquote:border-pink-research dark-research:prose-blockquote:text-white dark-research:[&_cite]:text-gray-light dark-research:[&_cite>:first-child]:text-pink-research dark-research:prose-code:bg-pink-research/10 dark-research:prose-code:text-pink-research">

Apache HTTP Server 的 HTTP/2 模块（mod_http2）中发现了一个关键的同步漏洞（CVE-2026-119618）。该缺陷源于处理共享资源时 assign_headers() 函数内部的并发执行竞争条件（race condition）。如果攻击成功，远程未认证的攻击者可以破坏堆内存，从而实现任意代码执行（RCE）。

截至本博客发布时，尚无公开的攻击利用代码（exploit），也没有在野利用的报告。

什么是 CVE-2026-119618？

CVE-2026-119618 是 Apache HTTP Server 中的一个涉及竞争条件的严重高危漏洞，该漏洞由 Anthropic 和 Google Cloud 的漏洞研究团队（Google Cloud’s Vulnerability Research Team）独立发现。

具体而言，该缺陷存在于 HTTP/2 模块（mod_http2）的 assign_headers() 函数中。由于在执行共享资源的并发线程时同步不当，攻击者可以触发堆内存损坏（heap corruption）。这种内存损坏最终可被利用在托管服务器上实现 RCE，允许未授权的威胁行为者以Web服务器进程的权限执行任意命令。

Wiz Research 数据：对云环境的风险是什么？

在云环境中，受 compromis 影响的、运行容器化或虚拟化工作负载的 Apache 实例可以作为横向移动的切入点，从而可能暴露相邻的微服务或云元数据端点。

根据 Wiz 数据，64% 的云环境拥有易受 CVE-2026-119618 影响的资源，51% 的云环境拥有公开暴露的实例。请注意，这尚未将具体配置考虑在内。

哪些产品受到影响？

该漏洞影响在下表所列版本范围内、在 Apache HTTP Server 上使用 HTTP/2 功能的部署：

VendorProductAffected VersionsPatched Versions

Apache Software FoundationApache HTTP ServerFrom 2.4.55 through 2.4.702.4.71 and newer

GitHub (Open Source)mod_h2 moduleFrom 2.0.8 through 2.0.422.0.24 and newer

安全团队应采取哪些行动？

安全运维与工程团队应执行以下修复和缓解步骤：

1. 升级部署

升级 Apache HTTP Server（Apache HTTP Server）：将受影响的安装更新至 Apache HTTP Server 2.4.71 或更高版本。此版本修复了 assign_headers() 中的竞态条件。