Apache 也爆五年來首個重大漏洞，有開 HTTP/2 的網站快更新

Apache 的 HTTP/2 模組出現 2021 年以來第一個重大等級漏洞，Red Hat 評為 9.8 分，但 Wiz 發文時說還沒有公開攻擊程式或遭利用通報。
（前情提要：Anthropic 開放頂級 AI 當資安掃描器！Nethermind、ZEUS 搶先申請）
（背景補充：漏洞末日來襲？Wiz 技術長：PHP2Shell 不是特例，下一個很快就來）

本文目錄

用 Apache 2.4.55 到 2.4.70 版、又有開 HTTP/2 的主機要小心。Apache 已在 11 月 11 日推出修補版 2.4.71。漏洞編號 CVE-2026-119618，出在 Apache 處理 HTTP/2（第二版網頁傳輸協定）的 mod_http2 模組。

簡單來說，是多個執行緒同時使用同一塊記憶體卻沒有排好順序，造成記憶體損毀，攻擊者可能從遠端在伺服器上執行程式碼。

Red Hat 指出，只提供 HTTP/1.1 的伺服器不受影響。Apache 預設只開 HTTP/1.1，Debian 與 Ubuntu 的 http2 模組預設也沒啟用，但可能被前任管理者或管理工具開啟，所以要自己查。

怎麼檢查、怎麼修？

第一步：看版本。在主機上執行：

apachectl -v

第二步：看有沒有載入 HTTP/2 模組。執行下面這條，有輸出 http2_module 就是有載入：

apachectl -M | grep http2

第三步：看設定檔的 Protocols。Debian、Ubuntu 的設定檔在 /etc/apache2，RHEL 系在 /etc/httpd，找 Protocols 那一行有沒有 h2 或 h2c。三項都符合，就是會中的主機。

版本號有時會騙人。Ubuntu 22.04 顯示的是 2.4.52，低於 2.4.55，但 Ubuntu 公告 USN-9090-1 說 20.04、22.04、24.04 等多個版本都受影響，因為 Ubuntu 把較新的 HTTP/2 模組移植回舊版。用 Ubuntu 的人要以公告為準。

修法最直接的是升到 2.4.71，或用 apt、dnf 安裝發行版的修補套件。Debian 12 與 13 已有 2.4.71 的套件（見 Debian 追蹤頁），Ubuntu 22.04 更新到 2.4.52-1ubuntu4.27，24.04 更新到 2.4.58-1ubuntu8.19，RHEL 9 與 10 也已出 mod_http2 修補套件。

暫時不能更新，就先關掉 HTTP/2，把設定改成：

Protocols http/1.1

再重啟 Apache。Debian、Ubuntu 也可以停用模組後重啟：

a2dismod http2

如果你用的是獨立版 mod_h2（2.0.8 到 2.0.42 受影響），沒有新版可升。它的 GitHub 頁面已在 6 月封存，最後一版就是 2.0.42，只能改用 Apache 2.4.71 內建的模組。

有多危險？

Apache 把它列為重大等級，這是 2021 年以來的第一個。Red Hat 給 9.8 分（滿分 10），並說已有公開研究證實，對啟用 mod_http2 且其餘維持預設設定的伺服器，可穩定利用，成功就能執行任意指令、取得網頁伺服器的完整控制權。

但 Wiz 在 11 月 11 日發文時寫道，還沒有公開的攻擊程式，也沒有實際遭利用的通報。美國 CISA 的已遭利用漏洞清單，截至 11 月 13 日也還沒列入。目前能確定的是風險高，還不能確定已有人在攻擊。

RHEL 9 與 RHEL 10 的套件替每個 HTTP/2 串流配置獨立的記憶體，利用難度高很多，Red Hat 只評為重要；RHEL 8 不受影響。Wiz 另外統計，64% 的雲端環境有受影響版本的資源，但這個數字沒有考慮有沒有開 HTTP/2，實際會中的比例應該更低。

誰找到的？

最早找到的是 Anthropic 的 AI 掃描服務 OSS Scanner，10 月 26 日回報給 Apache。Google Cloud 的研究團隊在 11 月 3 日，也就是 8 天後，獨立找到同一個漏洞，見 Apache 官方安全公告。修補內容只改了一行：把原本寫進共用請求結構的標頭，改寫到每個請求各自的標頭表。

mod_h2 作者 Stefan Eissing 6 月封存獨立版時，在說明裡寫了封存原因：「現在的 LLM 熱潮讓我沒有時間和心力」繼續維護。AI 讓找漏洞變快了，維護者的壓力也跟著變大。