Apache HTTP Server 的 HTTP/2 模块 mod_http2 出了一个能远程执行代码的漏洞，编号 CVE-2026-119618。影响范围是 2.4.55 到 2.4.70，修复版本 2.4.71 已经发布。

打开网易新闻 查看精彩图片

红帽给出的 CVSS 评分是 9.8（满分 10）。按红帽的说法，能访问到服务器的攻击者不需要任何认证就能利用这个漏洞，并且可能完全控制服务器进程。

红帽同时表示，公开研究已经演示了针对默认配置、启用 mod_http2 的服务器的可靠利用方式，但没有点名或链接该研究。安全公司 Wiz 当天晚些时候的说法相反：目前没有可用的利用代码，也没有收到在野利用的报告。

受影响的前提只有一个：服务器启用了 HTTP/2。HTTP/2 只在 Protocols 指令打开时才运行，h2 对应基于 TLS 的 HTTP/2，h2c 对应基于明文 TCP 的 HTTP/2。这个指令可以设在整台服务器上，也可以设在单个虚拟主机上，所以排查时要同时看全局设置和每一个虚拟主机。

在 GitHub 上以 mod_h2 名义单独发布的模块构建同样受影响，范围是 2.0.8 到 2.0.42。

用 Apache HTTP Server 项目官方发行版的管理员，升级到安全公告里指定的 2.4.71 即可。这个版本还顺带修了 mod_md 的一个崩溃问题（重要级别），以及 mod_vhost_alias 里一处栈内存的单字节覆写（低级别）。

各发行版有自己的包版本号。以红帽企业 Linux 9 为例，修复以 mod_http2-2.0.26-7.el9_9.1 的形式提供。红帽昨天为红帽企业 Linux 9 和 10 推送了修复，在这两个版本上把漏洞定为重要级别而非严重级别——其 mod_http2 包给每个 HTTP/2 流分配独立的内存分配器，让攻击难度大幅上升。红帽企业 Linux 8 及更早版本不含这段有问题的代码。

Debian 的信息来自 Debian 安全追踪器，Amazon 的信息来自 Amazon Linux 追踪器。Ubuntu 的 CVE 追踪器在核查时还没有这个漏洞的页面。

Apache HTTP Server 的安全公告没有提供绕过方案。Wiz 在漏洞分析里建议暂时无法升级的管理员，把 h2 和 h2c 从 Protocols 指令里删掉，只保留 Protocols http/1.1。

独立的 mod_h2 项目目前没有发布修复版本。GitHub 上的发布列表停在 2.0.42，也就是最后一个受影响版本；仓库自 6 月 9 日归档后一直是只读状态。使用这些构建的服务器，同样适用上面改 Protocols 的做法。

漏洞由 Anthropic 的 OSS Scanner 在 10 月 26 日报告。这是一个面向开源项目的免费扫描服务，使用该公司的 AI 模型。Google Cloud 漏洞研究的 Anthony Weems 和 Simon Scannell 上周也报告了该漏洞。

更早的一个 HTTP/2 漏洞 CVE-2026-23918 在 5 月 4 日发布的 2.4.67 中修复。已经升到 2.4.67、或之后一直到 2.4.70 的服务器，跑的仍然是受这次新漏洞影响的版本。