Apache Software Foundation於2026年11月11日發布Apache HTTP Server 2.4.71，修補HTTP/2模組的重大遠端程式碼執行漏洞。符合受影響版本且啟用HTTP/2的伺服器，可能遭未經驗證的攻擊者利用，管理員應儘速檢查更新狀態。

 

【事件經過】

 

CVE-2026-119618位於mod_http2的assign_headers()函式。多執行緒存取共享資源時，因同步不當產生競爭條件，可能造成堆積記憶體損毀，進而執行任意程式碼。

 

漏洞由Anthropic掃描工具及Google Cloud研究人員分別通報，並於11月11日修補。

 

Red Hat指出研究人員已展示利用方法，但尚無足夠證據認定已發生大規模實際入侵。

 

【影響範圍】

 

CVE-2026-119618影響Apache HTTP Server 2.4.55至2.4.70，以及獨立mod_h2模組2.0.8至2.0.42。Red Hat給予CVSS v3.1評分9.8分，屬重大風險。

 

本次亦修補mod_md的CVE-2026-106023，影響2.4.30至2.4.70，可能造成子程序崩潰；以及mod_vhost_alias的CVE-2026-109163，影響2.4.69至2.4.70。

 

Wiz指出，64%受觀測雲端環境包含符合受影響版本條件的資源；該統計未計入實際模組與協定設定，不能推論全球64%網站均存在漏洞。

 

【建議措施】

 

自行安裝Apache者應更新至2.4.71或後續版本；使用RHEL、Ubuntu等發行版套件者，應按官方安全公告套用修補，不可只憑上游版號判定。

 

Red Hat已為RHEL 9發布修補，RHEL 8對應的httpd模組則列為不受此漏洞影響。

 

更新前應備份設定，確認模組及HTTP/2啟用狀態；更新後重啟或重新載入服務，驗證連線。

 

無法立即修補者可暫停HTTP/2、僅使用HTTP/1.1；未使用mod_md時亦可評估停用。暫時緩解不能取代正式更新。

 

【國內機關與企業之影響與因應】

 

原文未提供台灣受害案例。國內政府機關、金融業及企業如使用Apache提供網站、反向代理或內部服務，應按實際套件、模組及外部暴露情況判定修補優先順序。

 

建議將協定設定、模組載入、管理權限及更新驗證納入組態基準（GCB）與變更紀錄，並檢查異常請求和服務崩潰跡象，避免單憑產品名稱認定所有主機受影響。

 

【新聞出處】

 

原文標題：Apache (httpd) 爆出滿分級漏洞，影響全球 6 成網站 呼籲管理員立即修補

 

媒體名稱：HKEPC

發布日期：原文未提供，待查核

原文網址：

https://www.hkepc.com/27245

 

官方補充資料：Apache HTTP Server 2.4 vulnerabilities

發布機構：Apache Software Foundation

公告日期：2026年11月11日

官方網址：

https://httpd.apache.org/security/vulnerabilities_24.html

 

官方補充資料：CVE-2026-119618

發布機構：Red Hat

公告日期：2026年11月11日

官方網址：

https://access.redhat.com/security/cve/cve-2026-119618

 

補充研究：Critical RCE Vulnerability in Apache HTTP Server

研究機構：Wiz

發布日期：2026年11月11日

研究網址：

https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability