AI 摘要
- Apache HTTP Server 的 mod_http2 模組存在漏洞 CVE-2026-119618，攻擊者無須身份驗證即可遠端執行任意程式碼。
- Apache 官方已在 2.4.71 版本修復此次公告的所有安全問題。
- 資安機構建議管理員立即升級，若無法升級可暫時停用 mod_http2 與 mod_md 模組。
Apache 軟體基金會發布緊急公告，Apache HTTP Server 的核心 HTTP/2 模組被發現嚴重漏洞 CVE-2026-119618。攻擊者無須任何身份驗證即可遠端執行任意程式碼，或讓伺服器崩潰。Apache 官方已在 2.4.71 版本完成修復，資安專家呼籲所有系統管理員盡快部署更新。
漏洞概況
根據 Apache 官方公告與美國國家漏洞資料庫（NVD）紀錄，CVE-2026-119618 屬於「共享資源並發執行且同步不當」（CWE-362）所引發的競爭條件（Race Condition）漏洞。缺陷位於 mod_http2 模組內的 assign_headers() 函式。當多執行緒並發處理共享資源卻未妥善同步時，攻擊者可觸發堆積記憶體損毀（Heap Corruption），進而劫持程式執行流程，取得伺服器程序的控制權。
在風險評級方面，紅帽（Red Hat）與 Tenable 均給予該漏洞 9.8 分（滿分 10 分）的「嚴重」（Critical）評價，部分機構更給出 10.0 分。由於攻擊過程不需前置認證或使用者互動，只要目標伺服器對外開放 HTTP/2 連線，即面臨直接風險。獨立發布於 GitHub 的 mod_h2 模組同樣受此問題影響。
本次更新的漏洞比較
本次安全更新共涵蓋兩個嚴重級別的漏洞，兩者的技術位置與影響各不相同，詳見下表。
| 漏洞編號 | 嚴重程度 | 所在模組 | 弱點類型 | 主要影響 |
|---|---|---|---|---|
| CVE-2026-119618 | 嚴重（Critical），Red Hat 與 Tenable 評 9.8 分，部分機構給 10.0 分 | mod_http2（assign_headers() 函式） | CWE-362 競爭條件 | 堆積記憶體損毀，可能遠端執行任意程式碼 |
| CVE-2026-106023 | 重要（Important） | mod_md（ACME 憑證自動化處理） | CWE-476 空指標解引用 | 子處理程序異常崩潰，造成阻斷服務風險 |
影響範圍與潛在風險
雲端資安機構 Wiz 的風險評估報告指出，全球高達 64% 的雲端環境包含受此漏洞影響的伺服器資源，其中 51% 的雲端環境存在直接暴露於公開網際網路的執行個體（Instance）。
研究人員警告，在容器化或虛擬化架構中，一旦執行 Apache 的節點遭入侵，攻擊者便可能以此為跳板進行內部橫向移動，進一步存取相鄰的微服務或雲端中繼資料（Metadata）端點。
建議處理方式
- 立即升級版本：管理員應前往 Apache HTTP Server 官方下載頁面取得 2.4.71 正式版進行部署，或留意各大 Linux 發行版官方套件庫的安全更新並第一時間套用。
- 暫時停用非必要模組：若因系統相容性或維護排程而暫時無法升級，且業務並未強制依賴相關功能，可透過修改設定檔暫時停用 mod_http2 與 mod_md 模組，以切斷潛在攻擊路徑。
Reference Link : hkepc.com
