【漏洞通告】Apache HTTP Server远程代码执行漏洞（CVE-2026-119618）
NS-CERT 2026-11-13 19:00 四川
近日，绿盟科技CERT监测到Apache发布安全公告，修复了Apache HTTP Server远程代码执行漏洞（CVE-2026-119618），CVSS评分9.8，目前漏洞细节与造成拒绝服务的PoC已公开，请相关用户尽快采取措施进行防护。
通告编号 NS-2026-0029
2026-11-13
| TAG： | Apache HTTP Server、远程代码执行、CVE-2026-119618 |
| 漏洞危害： | 攻击者利用此漏洞，可造成内存损坏甚至任意代码执行。 |
| 版本： | 1.0 |
1
漏洞概述
近日，绿盟科技CERT监测到Apache发布安全公告，修复了Apache HTTP Server远程代码执行漏洞（CVE-2026-119618）；由于Apache HTTP Server的mod_http2模块在assign_headers()函数中处理共享资源时缺乏适当同步，未经身份验证的攻击者可通过并发HTTP/2请求触发竞争条件造成堆内存损坏，在特定条件下可以Web服务器权限执行任意代码。CVSS评分9.8，目前漏洞细节与造成拒绝服务的PoC已公开，请相关用户尽快采取措施进行防护。
Apache HTTP Server（httpd）是一款全球广泛部署的开源Web服务器软件，其mod_http2模块用于提供HTTP/2协议支持，显著提升现代Web应用的传输性能与并发能力。
参考链接：
https://www.mail-archive.com/announce@apache.org/msg12665.html
SEE MORE →
2影响范围
受影响版本
• 2.4.55 <= Apache HTTP Server <= 2.4.70
• 2.0.8 <= mod_h2 <= 2.0.42
注：Apache HTTP Server需启用HTTP/2（h2或h2c）才受影响。
不受影响版本
• Apache HTTP Server >= 2.4.71
• mod_h2 > 2.0.42
3漏洞检测
3.1 人工检测
相关用户可通过检查Apache HTTP Server的版本以及是否启用了HTTP/2协议来判断当前应用是否存在风险：
1、查看当前Apache HTTP Server版本号：
httpd -v
# 部分Linux发行版（如 Debian/Ubuntu）：
apache2 -v2、检查是否加载了http2_module模块：
httpd -M | grep http2
# 或：
apache2ctl -M | grep http23、检查配置文件中是否通过Protocols指令启用HTTP/2 (h2或h2c)：
grep -rn "Protocols" /etc/httpd/ /etc/apache2/ 2>/dev/null若当前版本在受影响范围内，且服务器启用了 HTTP/2 (h2 或 h2c) 协议，则可能存在安全风险。
4漏洞防护
4.1 官方升级
目前官方已发布新版本修复此漏洞，请受影响的用户尽快升级版本进行防护，下载链接：https://httpd.apache.org/download.cgi
4.2 其他防护措施
在不影响业务的情况下，相关用户可通过禁用HTTP/2协议进行临时缓解：
1、修改配置文件
将Apache的主配置文件（如httpd.conf、apache2.conf）或对应的虚拟主机配置文件，修改为仅支持http/1.1：
Protocols http/1.12、检查配置并重启服务：
systemctl restart httpd
# 部分Linux发行版（如 Debian/Ubuntu）：
systemctl restart apache2END
声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
绿盟科技CERT∣微信公众号
长按识别二维码，关注网络安全威胁信息
本文转载自微信公众号「绿盟科技CERT」，查看原文。版权归原作者所有，如有侵权请联系删除。