Apache 出現嚴重漏洞，HTTP/2 服務或遭遠程代碼執行

ChainCatcher 消息，開源伺服器軟體 Apache HTTP Server 出現嚴重安全漏洞。攻擊者在能夠訪問受影響服務的情況下，可透過構造請求破壞伺服器內存，進而以 Web 服務進程權限執行代碼。該漏洞位於 HTTP/2 模組，攻擊者無需身份驗證即可觸發並發同步缺陷並引起堆內存損壞，成功利用後能以 Apache 工作進程權限執行代碼，並訪問該進程可以讀取的數據。

受影響範圍包括 Apache HTTP Server 2.4.55 至 2.4.70，以及單獨從 GitHub 使用的 mod_h2 2.0.8 至 2.0.42。紅帽公司稱，風險涉及透過 Protocols 指令啟用 HTTP/2 的伺服器，包括加密連接使用的 H2 和明文連接使用的 H2C。管理員需同時檢查全局配置和各虛擬主機配置；若網站前端部署 CDN 或反向代理，也需檢查 Apache 源站是否可直接透過 HTTP/2 訪問。

Apache 已於 2026 年 11 月 11 日發布 HTTP Server 2.4.71，建議使用 Apache 的網站立即升級，暫時無法升級時可臨時關閉 HTTP/2。問題位於 modhttp2 的 assignheaders() 函數。HTTP/2 允許在同一連接中並發處理多個請求，受影響代碼在處理共享資源時存在同步缺陷，可能導致堆內存破壞。該漏洞由 Anthropic OSS Scanner 開源項目掃描計劃和 Google Cloud 漏洞研究團隊發現，Anthropic 於 10 月 26 日向 Apache 基金會報告，谷歌雲團隊於 11 月 3 日報告同一漏洞。