【漏洞通告】Apache HTTP Server mod_http2 竞态条件远程代码执行漏洞(CVE-2026-119618)
深瞳漏洞实验室 2026-11-13 17:06 北京
2026年11月12日，深瞳漏洞实验室监测到一则Apache HTTP Server组件存在代码执行漏洞的信息，漏洞编号：CVE-2026-119618，漏洞威胁等级：严重。
漏洞名称：
Apache HTTP Server mod_http2 竞态条件远程代码执行漏洞(CVE-2026-119618)
组件名称：
Apache HTTP Server
影响范围：
2.4.55 <= Apache HTTP Server <= 2.4.70（启用 mod_http2 时受影响）；
2.0.8 <= GitHub mod_h2 <= 2.0.42
漏洞类型：
代码执行
利用条件：
1、用户认证：否
2、前置条件：服务器启用 mod_http2 模块并对外提供 HTTP/2 服务
3、触发方式：远程
综合评价：
利用难度：容易，无需授权即可远程触发。
威胁等级：严重，能造成远程代码执行。
官方解决方案：
已发布
漏洞分析
组件介绍
Apache HTTP Server 是 Apache 软件基金会开发的开源 Web 服务器，是全球部署最广泛的 HTTP 服务端之一。mod_http2 是其处理 HTTP/2 协议的官方模块，服务器启用该模块后，远程客户端的 HTTP/2 请求将直接进入模块的处理链路，本次漏洞正位于该模块 assign_headers() 函数的并发处理路径，远程可直达。
漏洞简介
2026年11月12日，深瞳漏洞实验室监测到一则Apache HTTP Server组件存在代码执行漏洞的信息，漏洞编号：CVE-2026-119618，漏洞威胁等级：严重。
Apache HTTP Server 的 mod_http2 模块 assign_headers() 函数存在并发同步缺陷（CWE-362）：多个请求线程并发访问共享资源时缺少适当同步，特定 HTTP/2 请求序列可触发竞态条件，造成内存破坏，远程攻击者可利用该缺陷在服务器上执行任意代码。影响启用 mod_http2 的 2.4.55 至 2.4.70 版本。
漏洞验证
搭建受影响的Apache HTTP Server，复现崩溃，效果如下：
影响范围
目前受影响的Apache HTTP Server版本：
2.4.55 <= Apache HTTP Server <= 2.4.70（启用 mod_http2 时受影响）；
2.0.8 <= GitHub mod_h2 <= 2.0.42
解决方案
官方修复建议
升级至官方已修复版本：Apache HTTP Server >= 2.4.71（或自 GitHub 构建修复版 mod_h2 >= 2.0.43）
下载链接：https://github.com/apache/httpd
临时修复建议
在完成升级前，可在 httpd 配置中临时禁用 mod_http2（移除 LoadModule http2_module 及 Protocols 中的 h2/h2c），关闭 HTTP/2 攻击面。
关注 Apache 官方安全公告，2.4.71 及以上版本发布后立即升级。
深信服解决方案
1、风险资产发现
支持对Apache HTTP Server的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：
【深信服云镜YJ】 已发布资产检测方案，指纹ID:0014025。
2、漏洞主动检测
支持对Apache HTTP Server mod_http2 竞态条件远程代码执行漏洞(CVE-2026-119618)的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：
【深信服云镜YJ】已发布检测方案，规则ID:SF-0005-22850。
【深信服可拓展检测响应平台XDR】已发布检测方案（需要具备云镜组件能力），规则ID:SF-0005-22850。
参考链接
https://httpd.apache.org/security/vulnerabilities_24.html
https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability
时间轴
2026/11/12
深瞳漏洞实验室监测到Apache HTTP Server mod_http2 竞态条件远程代码执行漏洞信息。
2026/11/13
深瞳漏洞实验室发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
本文转载自微信公众号「深信服千里目安全实验室」，查看原文。版权归原作者所有，如有侵权请联系删除。