Apache HTTP Server修复高危远程代码执行漏洞，攻击者可远程执行代码

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年11月12日 15:25
北京

去阅读

Apache现已发布 HTTP Server 2.4.71 版本，修复了3个安全漏洞，其中包含一个可实现远程代码执行的严重内存损坏漏洞。

该更新于2026年11月11日正式发布，分别修复 mod\_http2 、 mod\_md 、 mod\_vhost\_alias 模块中的安全缺陷，漏洞等级依次为严重、高、低。本次发布是继之前一批Apache HTTP Server安全更新之后的又一次修复，此前版本主要解决内存安全与拒绝服务类问题。

Apache HTTP Server漏洞详情

最严重的漏洞编号为 CVE‑2026‑119618，存在于 mod\_http2 模块的 assign\_headers() 函数中。Apache官方对该缺陷描述为：多并发执行场景下共享资源缺少正确同步机制。该问题能够造成堆内存损坏，存在被攻击者利用实现远程代码执行的风险。

受影响版本：Apache HTTP Server 2.4.55 至 2.4.70；独立发布于GitHub的mod\_h2模块 2.0.8 至 2.0.42。

该漏洞由Anthropic开源扫描工具（漏洞编号ANT‑2026‑MAPKT6MZ），以及谷歌云漏洞研究团队的Anthony Weems、Simon Scannell共同发现。Anthropic在10月26日上报漏洞，谷歌方面于11月3日提交报告。

Apache官方安全公告记录的修复提交哈希： 824beab9b9424d6cfb29595248fdbf6c3dddeab1 。公告没有给出漏洞利用链，未说明攻击是否需要身份认证，也没有野外实际利用的证据。因此，披露存在远程代码执行风险并不代表攻击者已经入侵了受影响服务器。

第二个漏洞 CVE‑2026‑106023，属于高危漏洞，是 mod\_md 模块处理HTTP请求过程中出现的空指针解引用漏洞。该漏洞会造成子进程崩溃，影响版本为 2.4.30 ~ 2.4.70。该漏洞于9月29日上报，发现者为hexb1n、宋洋、何家晟、Lucian Nitescu、Bartlomiej Dmitruk。

第三个漏洞 CVE‑2026‑109163，继CVE‑2026‑63292之后出现，是 mod\_vhost\_alias 模块一处单字节栈缓冲区溢出，漏洞等级低，仅影响 HTTP Server 2.4.69、2.4.70。Apache在10月5日收到漏洞报告，发现者包括Gustavo Aiello、Charles Vosburgh、Wojciech Tatarski、Oz Kaiser、畑山大辅。需要注意：该漏洞溢出范围有限、评级较低，不要将其和 mod\_http2 模块的严重漏洞混为一谈。

管理员应优先将受影响服务升级至HTTP Server 2.4.71，同时校验各个已部署模块版本，尤其是单独维护的mod\_h2模块。历史上曾出现过被在野利用的Apache漏洞，这也说明了及时修复的必要性；但这不代表本次新披露的漏洞已经被实际攻击使用。

运维建议：

1. 梳理统计所有暴露在外的Apache服务器资产；

​

2. 在测试环境验证补丁版本；

​

3. 部署完成后校验业务应用运行状态。

Apache的这三项漏洞修复全部随11月11日发布的版本上线，2.4.71版本完整包含全部三处漏洞的修复。