Apache／官方：HTTP Server 2.4.71 修補 HTTP/2 嚴重漏洞——堆積損毀可導致遠端程式碼執行；須由 2.4.55 至 2.4.70 升級

重點摘要

Apache HTTP Server 專案於十一月十一日發布 2.4.71，修補三項安全漏洞，其中一項由官方列為「嚴重」：HTTP/2 模組 mod_http2 在 assign_headers() 處理共用資源時同步不當，可造成堆積損毀並導致遠端程式碼執行，編號 CVE-2026-119618，影響 2.4.55 至 2.4.70。雲端資安商 Wiz 同日撰文指，按該公司數據約六成四的雲端環境存有受影響資源，約五成一有對外暴露的實例，惟未計入實際設定；刊出時未見公開利用程式，亦未見野外利用報告。相關內容已核對 Apache 官方 2.4 系列安全公告、2.4.71 發行說明與變更紀錄，來源真實性已驗證。

Apache／官方：HTTP Server 2.4.71 修補 HTTP/2 嚴重漏洞——堆積損毀可導致遠端程式碼執行；須由 2.4.55 至 2.4.70 升級

Apache HTTP Server 專案於十一月十一日發布 2.4.71，修補三項安全漏洞，其中一項由官方列為「嚴重」：HTTP/2 模組 mod_http2 在 assign_headers() 處理共用資源時同步不當，可造成堆積損毀並導致遠端程式碼執行，編號 CVE-2026-119618，影響 2.4.55 至 2.4.70。雲端資安商 Wiz 同日撰文指，按該公司數據約六成四的雲端環境存有受影響資源，約五成一有對外暴露的實例，惟未計入實際設定；刊出時未見公開利用程式，亦未見野外利用報告。相關內容已核對 Apache 官方 2.4 系列安全公告、2.4.71 發行說明與變更紀錄，來源真實性已驗證。

Apache／官方：HTTP Server 2.4.71 修補 HTTP/2 嚴重漏洞——堆積損毀可導致遠端程式碼執行；須由 2.4.55 至 2.4.70 升級

Apache HTTP Server 專案於二零二六年十一月十一日發布 2.4.71，官方下載頁列為現行建議版本，安全公告寫明此版本共修補三項漏洞：一項「嚴重」、一項「重要」、一項「低」。源頭以官方安全頁「Fixed in Apache HTTP Server 2.4.71」及同期發行說明、CHANGES_2.4 為準；Wiz 同日（北美東部時間下午二時四十九分，即香港時間十一月十二日凌晨三時四十九分）發布說明文章，補充雲端暴露面觀察與暫時緩解做法，技術結論仍以 Apache 原文為據。來源真實性已驗證。

一、核心事件：HTTP/2 模組修補嚴重的堆積損毀與遠端程式碼執行風險

官方把 CVE-2026-119618 評為「嚴重」，標題寫成「mod_http2: heap corruption and RCE in assign_headers」。描述是：Apache HTTP Server 的 mod_http2 在 assign_headers() 中，對共用資源的並發執行缺乏妥善同步，可導致遠端程式碼執行。受影響的 Apache HTTP Server 版本為 2.4.55 至 2.4.70；若另行使用 GitHub 上的獨立 mod_h2 模組，受影響版本為 2.0.8 至 2.0.42。修補已納入 2.4.71，官方記錄修復提交於十一月十一日進入 2.4.x，同日隨 2.4.71 發佈。

致謝方面，官方列出兩組發現者：Anthropic 的 OSS Scanner（內部編號 ANT-2026-MAPKT6MZ），於十月二十六日向安全團隊報告；以及 Google Cloud Vulnerability Research 的 Anthony Weems 與 Simon Scannell，於十一月三日報告。Wiz 文章亦寫明該缺陷由 Anthropic 與 Google Cloud 漏洞研究團隊獨立發現。

Wiz 進一步解釋攻擊面：若利用成功，遠端、未經認證的攻擊者可破壞堆積記憶體，進而在主機上以網頁伺服器行程權限執行任意指令。官方安全公告本身只寫「可導致遠端程式碼執行」，並未在條文中使用「未經認證」字眼；本文把這項認證前條件標明為 Wiz 的技術判斷，而非 Apache 原文用語。Wiz 同時寫道，截至該文刊出之時，未見公開利用程式，亦沒有野外利用報告。

同日一併修補的另外兩項漏洞是：CVE-2026-106023（重要），mod_md 在處理 HTTP 請求時出現空指標解參考，可導致子行程崩潰，影響 2.4.30 至 2.4.70；以及 CVE-2026-109163（低），mod_vhost_alias 在 CVE-2026-63292 之後仍存在一字節堆疊緩衝區覆寫，僅影響 2.4.69 與 2.4.70。兩者同樣在 2.4.71 修復。

技術細節

HTTP/2 把多個串流複用在同一條連線上，標頭處理會在並發路徑上碰到共用結構。官方把缺陷歸類為「Concurrent Execution using Shared Resource with Improper Synchronization」，位置就在 assign_headers()。同步一旦失誤，並發請求可能交叉改寫堆積物件，後果由記憶體損毀演變成可執行攻擊者指定的程式碼。這也解釋了為何暫時緩解是關掉 HTTP/2、只保留 HTTP/1.1，而不是只調整應用層認證。

獨立編譯的 GitHub mod_h2 受影響範圍，官方只寫到 2.0.8 至 2.0.42，並未在安全公告中給出一個已修補的模組版本號。運維若仍掛獨立模組，應改用已包含修復的 2.4.71 內建模組，或確認所裝的獨立模組已高於 2.0.42 且包含同一修復；不要依賴第三方文章裏互相矛盾的修補版本表。

二、技術原理深度解析

mod_http2 負責把 HTTP/2 影格、串流與標頭解成伺服器內部的請求物件。assign_headers() 正是把解出來的標頭寫入共用狀態的關鍵步驟。當多條串流同時到達，執行緒或事件回調若未正確鎖定或排序這段寫入，就可能出現競態：一個請求尚未寫完，另一個請求已開始改寫同一塊堆積。這類缺陷在成功利用時，典型後果是堆積元數據或函式指標被改寫，從而跳到攻擊者準備的程式碼。官方以「可導致遠端程式碼執行」定性，等於把影響從拒絕服務提升到主機被接管的層級。

Wiz 指出，雲端裏若被攻破的 Apache 實例跑在容器或虛擬機中，攻擊者還可能以此為跳板，橫向移動到相鄰微服務，或嘗試觸及雲端中繼資料端點。這不是官方 CVE 條文的一部分，但符合此類網頁伺服器權限被拿走之後的常見攻擊路徑。該公司數據稱，百分之六十四的雲端環境有資源受 CVE-2026-119618 影響，百分之五十一的雲端環境有對外暴露的實例，並註明未把實際設定納入計算——例如是否真的啟用了 HTTP/2、是否已把管理面收在內網。換言之，暴露面可能低於這兩個百分比，但不能以此代替清點與升級。

CVE-2026-106023 屬可用性問題：mod_md 處理請求時若解參考空指標，子行程會崩潰，需視進程模型而定，可能只中斷單一處理行程，也可能造成連線中斷。CVE-2026-109163 是在較早的 CVE-2026-63292 修復之後，仍殘留一字節堆疊覆寫，官方評為低，且只落在 2.4.69 與 2.4.70。即使後兩項單獨看來不如第一項嚴重，官方仍建議一次升級到 2.4.71。

四、日常應用場景

1. 開發者與技術團隊

任何在開發、測試或預發布環境啟用 HTTP/2 的 Apache 2.4.55 至 2.4.70，都應納入本次升級範圍，不要只修生產機。若映像、Helm chart、PaaS 建置檔或容器基礎映像仍釘死舊小版本，升級清單應一併改寫。獨立使用 GitHub mod_h2 的團隊，須核對模組版本是否落在 2.0.8 至 2.0.42，並改走 2.4.71 內建模組或已確認含修復的後續模組。無法即時改版時，可先在設定中移除 h2、h2c，只保留 Protocols http/1.1，這是 Wiz 建議的暫時措施，不能代替正式升級。

2. 企業與隱私敏感行業

對外網站、反向代理、客戶入口和 API 閘道若以 Apache 對外提供 HTTP/2，這次「嚴重」評級直接關係到網頁伺服器行程權限。金融、法律、醫療和持牌業務應把 2.4.71 當作緊急變更，並檢查負載均衡、CDN 來源站與容器叢集是否仍跑受影響版本。Wiz 所報的高比例雲端暴露，提醒資產盤點不能只看「自己有沒有改過 httpd.conf」，還要包括託管平台預設映像與第三方應用附帶的 Apache。

3. 一般用戶

一般瀏覽者不必自行修補瀏覽器。真正要行動的，是自行架站、使用虛擬主機控制面板、或把網站放在仍內建舊版 Apache 的主機商之用戶。應向主機商或網頁控制面板確認已提供 2.4.71，或在可自行編譯的環境按官方下載頁取得原始碼，並核對簽章。在完成升級前，可暫時關閉 HTTP/2，網站仍能以 HTTP/1.1 提供服務，只是複用與效能會退回舊協定。

4. 香港與亞洲市場視角

香港不少中小企業網站、政府與院校入口，以及內地與亞洲區的雲端虛擬主機，仍廣泛使用 Apache。若主機商或數據中心映像停留在 2.4.55 至 2.4.70，又預設打開 HTTP/2，風險會集中在對外公開的來源站。本地運維在非繁忙時段安排升級較為穩妥，同時保留可回退的設定備份。亞太區使用獨立 mod_h2 或自行編譯套件的團隊，也應把 GitHub 模組版本一併列入盤點，不要假設「發行版套件已自動跟上」。

五、專業評價與潛在考量

優勢

官方同日放出 2.4.71，安全頁、發行說明與變更紀錄一致，受影響版本範圍清楚，並公開兩組獨立發現者與報告日期，便於機構核對來源。把嚴重項與另外兩項一併納入同一版本，減少分次停機。Wiz 提供可操作的暫時緩解（關閉 HTTP/2）及雲端暴露面數據，有助在無法即時升級時先縮窄攻擊面。刊出時未見公開利用程式與野外利用報告，代表多數機構仍有窗口完成修補。

需要留意的地方

官方條文沒有寫明利用是否必須經過認證，也沒有在安全頁給出 CVSS 分數；「遠端、未經認證」來自 Wiz，引用時應標明出處。Wiz 的六成四、五成一數字未計入實際設定，不能直接當成「過半公開站點已被攻破」。獨立 mod_h2 的已修補版本號，官方安全公告並未列出，第三方文章若出現互相矛盾的修補表，不應照抄。暫時關閉 HTTP/2 只是權宜，長期仍須升至 2.4.71。官方亦未宣稱此漏洞已遭利用，後續若有在野報告，應再對照安全頁更新，而不是把本次發佈寫成已遭利用。

結語

Apache HTTP Server 2.4.71 已在十一月十一日成為官方建議版本，核心是修補 mod_http2 一項可導致遠端程式碼執行的嚴重競態，受影響範圍涵蓋使用多年的 2.4.55 至 2.4.70。對於仍對外提供 HTTP/2 的網站與 API，應盡快升級，並在過渡期考慮先限制協定至 HTTP/1.1。香港企業若需要把對外網站、反向代理與雲端工作負載一併盤點並加固，可參考 YSK Limited 的雲端遷移與網絡安全（官網刊 99.99% SLA，https://ysk.hk/services/cloud-security）。

參考來源

延伸閱讀 · 相關服務與產品

相關文章