Apache 出现严重漏洞，HTTP/2 服务或遭远程代码执行

ChainCatcher 消息，开源服务器软件 Apache HTTP Server 出现严重安全漏洞。攻击者在能够访问受影响服务的情况下，可通过构造请求破坏服务器内存，进而以 Web 服务进程权限执行代码。该漏洞位于 HTTP/2 模块，攻击者无需身份验证即可触发并发同步缺陷并引起堆内存损坏，成功利用后能以 Apache 工作进程权限执行代码，并访问该进程可以读取的数据。

受影响范围包括 Apache HTTP Server 2.4.55 至 2.4.70，以及单独从 GitHub 使用的 mod_h2 2.0.8 至 2.0.42。红帽公司称，风险涉及通过 Protocols 指令启用 HTTP/2 的服务器，包括加密连接使用的 H2 和明文连接使用的 H2C。管理员需同时检查全局配置和各虚拟主机配置；若网站前端部署 CDN 或反向代理，也需检查 Apache 源站是否可直接通过 HTTP/2 访问。

Apache 已于 2026 年 11 月 11 日发布 HTTP Server 2.4.71，建议使用 Apache 的网站立即升级，暂时无法升级时可临时关闭 HTTP/2。问题位于 mod_http2 的 assign_headers() 函数。HTTP/2 允许在同一连接中并发处理多个请求，受影响代码在处理共享资源时存在同步缺陷，可能导致堆内存破坏。该漏洞由 Anthropic OSS Scanner 开源项目扫描计划和 Google Cloud 漏洞研究团队发现，Anthropic 于 10 月 26 日向 Apache 基金会报告，谷歌云团队于 11 月 3 日报告同一漏洞。