严重2026-11-13
CVE-2026-119618 — Apache HTTP Server mod_http2 堆损坏与远程代码执行（2.4.55 至 2.4.70 受影响，已在 2.4.71 中修复）：解析与对策
Apache HTTP Server 的 mod_http2 中存在在没有适当同步的情况下并发使用共享资源的缺陷（CWE-362），可能导致远程代码执行（RCE）。Apache 将其评为最高级别的 critical，未给出 CVSS 评分。2.4.55 至 2.4.70 版本受影响，2.4.71（2026年11月11日）修复了它，同时修复了另外两个问题。未见实际利用报告，但 Red Hat 称已发表的研究展示了针对启用 HTTP/2 的默认配置服务器的可信攻击，且公告未列出临时解决办法。本站观点：请尽快将所有启用 HTTP/2 的 Apache 更新到 2.4.71；在发行版提供修复之前，先确认自己是否真的需要 HTTP/2。