危急2026-11-13
CVE-2026-119618 — Apache HTTP Server mod_http2 堆損壞與遠端程式碼執行（2.4.55 至 2.4.70 受影響，已在 2.4.71 中修復）：解析與對策
Apache HTTP Server 的 mod_http2 中存在在沒有適當同步的情況下併發使用共享資源的缺陷（CWE-362），可能導致遠端程式碼執行（RCE）。Apache 將其評為最高階別的 critical，未給出 CVSS 評分。2.4.55 至 2.4.70 版本受影響，2.4.71（2026年11月11日）修復了它，同時修復了另外兩個問題。未見實際利用報告，但 Red Hat 稱已發表的研究展示了針對啟用 HTTP/2 的預設配置伺服器的可信攻擊，且公告未列出臨時解決辦法。本站觀點：請儘快將所有啟用 HTTP/2 的 Apache 更新到 2.4.71；在發行版提供修復之前，先確認自己是否真的需要 HTTP/2。