Apache HTTP Server 曝严重 RCE 漏洞
Critical RCE Vulnerability in Apache HTTP Server
Apache HTTP Server 的 HTTP/2 模块被曝出严重远程代码执行漏洞 CVE-2026-119618。该漏洞源于 assign_headers() 函数中的竞态条件，攻击者无需认证即可利用堆内存损坏实现任意代码执行。Wiz 数据显示，64% 的云环境资源面临此风险，其中 51% 的实例甚至暴露在公网。虽然目前尚未发现野外利用案例，但安全团队需立即将 Apache HTTP Server 升级至 2.4.71 或更高版本，或暂时禁用 HTTP/2 支持以阻断攻击路径。
根据 Wiz 数据，64% 的云环境拥有易受 CVE-2026-119618 影响的资源。
HN 评论区
90- jamesy0ung
补丁看起来像 https://github.com/apache/httpd/commit/5ed39287660daacd1233c...
- throooooo
我有很多 Linux 系统管理员的经验，但已经十多年没碰过 Apache 了。我以为现在大多是 nginx 或其他方案了。
- neurostimulant
大多数 Apache/PHP 安装很可能运行的是 mpm_prefork，因此不受此漏洞影响。
- thehamkercat
> What is CVE-2026-111497?
> CVE-2026-119618 is a critical, high-severity vulnerability involving....
两个 CVE？（111497 != 11968）
- klaas-