Apache HTTP Server 的 HTTP/2 模块被发现存在一个严重安全漏洞，编号为 CVE-2026-119618。该漏洞允许未经认证的攻击者远程执行代码，并可能完全控制受影响的服务器进程。
根据厂商发布的评估报告，此漏洞影响启用 HTTP/2 功能的 Apache HTTP Server 2.4.55 至 2.4.70 版本，已在 2.4.71 版本中修复。值得注意的是，官方指出已有公开研究展示了针对默认配置（启用 mod_http2）服务器的可靠利用方法，但未披露具体研究来源。与此同时，安全公司 Wiz 随后表示，目前尚未发现可用的公开利用工具，也未监测到野外实际攻击活动。
配置检查与受影响范围
HTTP/2 功能仅在通过 Protocols 指令明确开启时运行。管理员需注意，该指令支持两种模式：h2 用于基于 TLS 的 HTTP/2，h2c 用于基于明文 TCP 的 HTTP/2。由于该设置可应用于整个服务器或单个虚拟主机，建议全面检查全局配置及所有虚拟主机的相关设置。
除了集成在 Apache 发行版中的模块外，GitHub 上独立发布的 mod_h2 模块同样受到影响，涉及版本范围为 2.0.8 至 2.0.42。
升级建议与其他修复
对于使用 Apache HTTP Server 官方发行版的用户，应立即升级至 2.4.71 版本以消除安全风险。此次更新除修复上述高危漏洞外，还包含以下改进：
- 修复了 mod_md 模块中一处被评定为“重要”级别的崩溃问题；
- 修复了 mod_vhost_alias 模块中一处被评定为“低”级别的栈内存单字节覆盖问题。
