CVE-2026-119618：严重的 Apache HTTP/2 漏洞导致远程代码执行

Apache已经发布了一个紧急安全更新，解决了CVE-2026-119618，该漏洞是Apache HTTP Server的mod_http2模块中一个严重的远程代码执行漏洞。此漏洞影响Apache HTTP Server版本2.4.55到2.4.70，可能允许未经身份验证的远程攻击者破坏堆内存，并在易受攻击的服务器上执行任意命令。

该漏洞源于Apache处理并发HTTP/2请求时同步不当。多个线程可以在没有足够协调的情况下访问共享资源，从而产生竞争条件，使得一个线程可以修改另一个线程正在使用的内存。成功利用此漏洞可能会破坏服务器的内部堆，并最终导致远程代码执行。

只有启用了HTTP/2的Apache部署暴露于已知的攻击路径。仅配置为HTTP/1.1的服务器不会触及易受攻击的mod_http2功能。HTTP/2可通过Apache的Protocols指令使用h2用于TLS连接或h2c用于纯文本HTTP/2来启用。

联系销售

Apache在2026年11月11日发布的HTTP Server 2.4.71中解决了该漏洞。来自GitHub的mod_h2独立版本2.0.8至2.0.42也受到影响。Apache的官方建议目前未标识发布单独修复的独立mod_h2版本。

红帽将该漏洞评估为CVSS 3.1评分9.8，表示一般评估，网络可访问，低复杂度利用不需要身份验证或用户交互。红帽进一步说明，研究证明对于默认配置的启用了mod_http2的服务器进行了可靠利用。

然而，截至2026年11月12日，Apache和已审查的安全报告都尚未记录在现实世界攻击中利用此漏洞。Wiz也未报告在发布时有已知的在野利用。然而，由于这个漏洞可以被远程访问且技术根本原因现已公开，组织仍应优先处理。

组织可以借助SOC Prime的AI-Native检测智能平台增强防御，帮助安全团队将威胁情报投入运营，加速跨SIEM、EDR、XDR和数据湖环境的检测工程和威胁狩猎。

通过识别启用了HTTP/2的面向互联网的易受攻击Apache服务器，并将可疑的HTTP/2活动与Apache崩溃、异常子进程、意外命令执行、新创建的文件和异常的外部网络连接相关联，检测CVE-2026-119618。

并不是每个CVE都可用检测内容。检查SOC Prime平台以了解当前覆盖。如果相关检测尚不可用，请再次检查，因为不断新增新的威胁情报和检测内容。

CVE-2026-119618分析

CVE-2026-119618影响启用了易受攻击的mod_http2功能的Apache HTTP Server版本2.4.55到2.4.70。独立的mod_h2项目受影响版本为2.0.8到2.0.42。Apache将此问题归类为严重，并将其映射到CWE-362，共享资源不当同步使用的并发执行。

漏洞存在于Apache的HTTP/2处理所使用的assign_headers()函数中。

HTTP/2与HTTP/1.1有显著不同，因为多条流可以在单个连接上并发运行。因此，Apache的mod_http2模块使用多个线程同时处理请求和管理HTTP/2流。

问题在于这些线程在没有足够同步的情况下与共享内存交互。根据红帽的技术评估，通过共享的无锁分配器，HTTP/2流工作程序可以写入由连接线程拥有的内存。

在攻击者控制的时间下，并发访问可能会破坏堆。

堆损坏漏洞可能会根据内存布局和攻击者控制的不同而产生不同的结果。未能成功利用可能导致Apache工作进程崩溃，而足够控制的损坏可以修改程序状态或重定向执行。

红帽表示，成功利用可能允许未经身份验证的攻击者以Apache HTTP Server进程的权限执行任意命令。这可以使攻击者访问应用程序数据、配置文件、可供Web服务器使用的凭据，以及该安全上下文下可访问的其他资源。

该漏洞在面向互联网的系统上特别令人担忧，因为不需要有效帐户、密码、API密钥或其他身份验证。攻击者只需要网络访问已受影响的HTTP/2端点。

然而，暴露情况依然取决于配置。

Apache HTTP Server实际上必须提供HTTP/2。管理员可以通过Protocols指令启用：

Protocols h2 http/1.1

用于TLS上的HTTP/2，或：

Protocols h2c http/1.1

在支持纯文本HTTP/2的情况下。

该指令可以全局配置或在单个虚拟主机上配置，意味着管理员应在评估暴露时检查服务器范围和每个站点的配置。

运行受影响的Apache版本但仅服务HTTP/1.1的服务器不会通过此缺陷处于危险中。红帽特别确认未启用HTTP/2的系统不会触及受影响的代码路径。

Apache的上游受影响范围也不应盲目地应用于Linux分发包。

Red Hat Enterprise Linux 8及更早版本不包含易受攻击的代码并不受影响。RHEL 9和RHEL 10确实包括受影响的mod_http2包，但红帽在这些平台上将问题评为重要而非严重。

差异来自实现细节。在RHEL 9和RHEL 10上，每个HTTP/2流接收一个单独的内存分配器，而不是与连接共享同一分配器。红帽表示，这种架构大大增加了利用复杂性，尽管受影响的系统仍需安全更新。

红帽于11月11日发布了多个RHEL 9和RHEL 10流的修正包。使用供应商维护的Linux包的管理员应应用其分发的安全更新，而不是仅依据服务器显示的上游Apache版本来确定易受攻击。

Apache HTTP Server 2.4.71提供了上游修正。修正修改了易受攻击的同步和内存管理行为，以便并发HTTP/2操作不能以不安全方式与受影响的共享资源交互。

该漏洞是通过两个研究项目独立发现的。

Anthropic的OSS扫描器于2026年10月26日将问题报告给Apache安全团队，标识符ANT-2026-MAPKT6MZ。Google Cloud Vulnerability Research的Anthony Weems和Simon Scannell于11月3日独立报告了该漏洞。Apache于11月11日发布了修复。

CVE记录于2026年11月11日发布。

CVE-2026-119618的PoC情况需要仔细解释。红帽表示公开研究表明，默认配置的启用了mod_http2的服务器上实现了可靠的利用。然而，《黑客新闻》和Wiz报道说，在其报告发布时尚未确定任何公开可用的RCE利用。因此，不应直接将声称是扫描器或利用相关工具的公共GitHub项目自动视为已验证的武器化RCE代码。

此区分在操作上很重要。防御者应假设漏洞在技术上可被利用，但要避免声称已有可靠的武器化利用在广泛传播，除非出现进一步证据。

对于CVE-2026-119618检测，安全团队应首先识别暴露的系统，而不仅仅依赖利用签名。

管理员可以使用以下命令确认是否加载了HTTP/2模块：

apachectl -M | grep http2

然后他们应该检查Apache配置文件中定义在单个虚拟主机内的Protocols指令是否包含h2或h2c。

外部服务发现也可以通过TLS ALPN协商识别服务器的HTTP/2。但是，仅凭版本识别可能会误导，因为Linux分发通常会回移漏洞修补而不改变上游版本字符串。

运行时遥测应与可疑的HTTP/2流量关联。潜在的行为指标包括反复的Apache工作进程崩溃、段错误、异常重启、内存损坏信息或与异常HTTP/2请求突发相关的突然服务不稳定。

因为成功利用可以提供命令执行功能，因此还应查看端点和主机遥测，以发现从Apache引发的异常子进程。

例如，httpd或apache2意外启动shell、脚本解释器、下载工具或系统管理命令。

安全团队应调查进程关系，比如：

httpd → /bin/sh

apache2 → bash

httpd → curl

apache2 → wget

或其他与托管应用程序的正常行为不一致的执行链。

在临时目录、Web根目录、启动位置或可写应用程序文件夹中创建文件也可能表明出现漏洞利用后的活动。从Apache工作进程发出的意外外部连接应给予类似的关注。

目前没有供应商发布的特定活动的CVE-2026-119618 IOC，例如恶意IP地址、域名、负载哈希或攻击者基础设施，因为Apache和已审查的来源未报告在野利用。这使得配置评估和基于行为的监控比静态指 Indicators匹配更有价值。

CVE-2026-119618缓解措施

主要的补救措施是将受影响的Apache HTTP Server安装升级到版本2.4.71或应用操作系统供应商提供的修正安全包。Apache 2.4.71于2026年11月11日发布，并包含上游修复。

组织应该优先考虑启用了HTTP/2的面向互联网的Apache部署，因为这些系统直接将易受攻击的功能暴露给不受信任的网络流量。

管理员应采取以下步骤：

1. 清点跨生产、开发、云和容器环境的Apache HTTP Server部署。
2. 识别运行Apache 2.4.55到2.4.70的安装。
3. 验证mod_http2是否已加载。
4. 检查全局协议和虚拟主机中的Protocols指令是否有h2或h2c。
5. 将上游Apache部署升级到2.4.71或更高版本。
6. 当Apache由Debian、Red Hat、Amazon Linux或其他操作系统供应商管理时，应用特定分发包。
7. 在补丁后重启Apache，以确保不再运行易受攻击的工作进程。
8. 在完成补救后验证有效的HTTP服务器配置。
9. 检查未打补丁之前暴露的面向互联网的系统上可疑活动的历史遥测。

管理员不应假定安装的操作系统包版本号低于2.4.71意味着系统仍然易受攻击。红帽等供应商会将安全补丁回移到他们自己的包版本中，所以应该将分发的相关建议视为权威信息。

官方Apache建议没有提供解决方法。然而，那些无法立即打补丁的组织可以暂时从暴露的配置中移除HTTP/2，从而消除对已知易受攻击代码路径的访问。Wiz建议将服务器限制为HTTP/1.1，直到可以部署更新。

例如：

Protocols http/1.1

应用该解决方案的组织应该检查所有虚拟主机，因为特定网站的配置可以单独启用h2或h2c。

移除HTTP/2可能会影响应用程序性能和客户端行为，因此应将该变化作为临时的风险降低措施进行测试，而非安装安全更新的替代方案。

CVE-2026-119618的缓解策略还应包括减少不必要的暴露。不需要直接互联网连接的管理或内部Apache服务应通过网络分段、负载均衡器、反向代理、防火墙策略或私人地址进行限制。

使用独立mod_h2版本2.0.8至2.0.42的组织需要特别注意。Apache识别这些版本为受影响版本，而黑客新闻报道在其11月12日报告时尚未发布更正后的独立版本。在适当的独立更新可用之前，可能需要禁用HTTP/2或迁移到包含上游修正的Apache HTTP Server软件包。

如果发现可疑活动，防御者应在操作上可行的情况下隔离受影响的服务器，并保留Apache访问日志、错误日志、系统日志、进程遥测、网络连接以及相关的内存或崩溃信息。

成功利用应被视作潜在的服务器妥协，而不仅仅是服务崩溃。调查者应查找新文件、Web Shell、改动过的应用程序代码、持久性机制、被盗凭据、可疑的出站流量，以及横向移动的证据。

对Apache进程可访问的凭据，包括数据库密码、API密钥、云凭据、TLS私钥或存储在应用程序配置中的秘密，应在有证据显示攻击者控制代码执行时进行审查和更换。