Apache HTTP/2模块现高危漏洞，可致远程代码执行

Apache HTTP 服务器近期披露了一项关键安全漏洞 CVE-2026-119618，该漏洞存在于其 HTTP/2 模块（mod_http2）中。这一由 Anthropic 和 Google 云漏洞研究团队独立发现的缺陷，源于 assign_headers() 函数在处理共享资源时存在竞态条件。

若攻击者成功利用此漏洞，可导致堆内存损坏，进而实现远程代码执行（RCE）。值得注意的是，攻击无需身份认证即可发起，威胁行为者可借此在托管服务器上以 Web 服务器进程的权限执行任意命令。

目前尚未发现针对该漏洞的公开利用代码，也未收到其在野利用的报告。然而，在云环境中，一旦 Apache 实例被攻破，攻击者可能将其作为横向移动的跳板，进而访问相邻的微服务或云元数据端点。

根据 Wiz 提供的数据，约 64% 的云环境包含易受 CVE-2026-119618 影响的资源，其中 51% 的环境存在公网暴露的实例（该统计未考虑具体配置差异）。

受影响的产品版本及修复方案如下：

缓解与修复建议

安全团队应立即采取以下措施以降低风险：

• 升级软件版本：将 Apache HTTP 服务器更新至 2.4.71 或更高版本，该版本已修复 assign_header 中的竞态条件问题。对于使用 GitHub 上独立构建 mod_h2 模块的用户，请确保模块版本不低于 2.0.43。
• 临时禁用 HTTP/2：若因业务连续性要求无法立即打补丁，可通过修改配置文件（如 httpd.conf）暂时禁用 HTTP/2 支持，从而消除攻击面。具体操作为移除对 h2 和 h2c 协议的引用，仅保留 HTTP/1.1：

# Restrict protocols to HTTP/1.1
Protocols http/1.1

此外，Wiz 客户可利用其威胁中心提供的预置查询工具，快速排查内部环境中是否存在易受攻击的实例。