Apache HTTP 服务器中的严重 RCE 漏洞

Apache HTTP Server 的 HTTP/2 模块 (mod_http2) 中已发现严重同步漏洞 (CVE-2026-119618)。该缺陷源于处理共享资源时 allocate_headers() 函数中的并发执行竞争条件。如果成功利用该漏洞，未经身份验证的远程攻击者可以破坏堆内存以实现任意代码执行 (RCE)。截至本博客发布时，尚无可用的漏洞利用程序，也没有关于野外利用漏洞的报告。什么是 CVE-2026-111497？ CVE-2026-119618 是一个严重的高严重性漏洞，涉及 Apache HTTP Server 中的竞争条件，由 Anthropic 和 Google Cloud 漏洞研究团队独立发现。具体来说，该缺陷存在于 HTTP/2 模块 (mod_http2) 的 allocate_headers() 函数中。由于执行共享资源的并发线程时同步不正确，攻击者可能会触发堆损坏。最终可以利用这种内存损坏在托管服务器上实现 RCE，从而允许未经授权的威胁参与者使用 Web 服务器进程的权限执行任意命令。 Wiz Research 数据：云环境面临哪些风险？在云环境中，运行容器化或虚拟化工作负载的受损 Apache 实例可以作为横向移动的入口点，可能会暴露相邻的微服务或云元数据端点。根据 Wiz 数据，64% 的云环境的资源容易受到 CVE-2026-119618 的影响，51% 的云环境具有公开暴露的实例。请注意，这不考虑配置。哪些产品受到影响？该漏洞影响在下表列出的版本范围内使用 Apache HTTP Server 上的 HTTP/2 功能的部署： 供应商产品 受影响的版本 修补版本 Apache Software Foundation Apache HTTP Server 从 2.4.55 到 2.4.70 2.4.71 及更高版本 GitHub（开源） mod_h2 模块 从 2.0.8 到 2.0.42 2.0.24 及更高版本 安全团队应采取哪些操作？安全运营和工程团队应执行以下修复和缓解步骤： 1. 升级部署 升级 Apache HTTP Server：将受影响的安装更新到 Apache HTTP Server 版本 2.4.71 或更高版本。此版本解决了 allocate_headers() 中的竞争条件。更新独立模块：如果从 GitHub 管理独立 mod_h2 构建，请将模块升级到高于 2.0.42 的版本。 2. 实施临时缓解措施 如果由于操作限制而无法立即修补，请暂时禁用 HTTP/2 支持以消除攻击媒介。 # 将协议限制为 HTTP/1.1 协议 http/1.1 Wiz 客户可以使用 Wiz 威胁中心中预先构建的查询和建议来搜索其环境中的易受攻击的实例。参考