【已复现】Apache HTTP/2 远程代码执行漏洞(CVE-2026-119618)安全风险通告

奇安信CERT · 2026-11-13 15:40 · 0 阅读

奇安信 CERT 2026-11-13 15:40 北京

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

● 点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Apache HTTP/2 远程代码执行漏洞
漏洞编号	QVD-2026-108595，CVE-2026-119618
公开时间	2026-11-11	影响量级	百万级
奇安信评级	高危	CVSS 3.1分数	9.8
威胁类型	代码执行	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	已公开
危害描述：远程未授权攻击者可触发mod_http2工作线程与连接线程对同一无锁APR allocator的并发访问，造成堆内存破坏，导致进程崩溃、拒绝服务，并可能进一步以httpd进程权限执行任意代码。

漏洞详情

>>>>

影响组件

Apache HTTP Server（httpd）是全球广泛使用的开源Web服务器。mod_http2是httpd的HTTP/2协议实现模块，支持在单个连接上多路复用多个并发请求，并使用工作线程处理请求。该模块被广泛应用于Web站点、反向代理、API网关、CDN回源等场景。

>>>>

漏洞描述

近日，奇安信CERT监测到官方修复Apache HTTP/2 远程代码执行漏洞(CVE-2026-119618)，该漏洞源于mod_http2在assign_headers()函数中，将合成的Content-Length: 0写入了连接线程（c1）所属的共享请求头表req->headers，而不是工作线程（c2）私有的r->headers_in。当请求头表恰好达到容量上限时，该写入会触发apr_palloc()，在未加锁的APR分配器上与连接线程并发分配/释放内存，造成堆内存破坏。攻击者可通过发送特制HTTP/2请求触发该竞争，导致httpd子进程崩溃、拒绝服务，并可能进一步以httpd进程权限执行任意代码。目前该漏洞PoC和技术细节已公开，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

目标启用HTTP/2（h2/h2c）并可被网络访问；无需认证；需并发HTTP/2流及特定请求头布局触发分配器竞争。

影响范围

>>>>

影响版本

2.4.55 <= Apache httpd < 2.4.71

2.0.8 <= 独立版 mod_h2 < 2.0.42

>>>>

其他受影响组件

无

复现情况