Newshot Translation(model translation, not the source's own text)
Apache HTTP Server 的 HTTP/2 模块（mod_http2）中被发现存在一个严重的同步漏洞（CVE-2026-119618）。该缺陷源于 assign_headers() 函数在处理共享资源时的并发执行竞态条件。若被成功利用，远程未认证攻击者可破坏堆内存，从而实现任意代码执行（RCE）。
截至本文发布时，尚无可用漏洞利用程序，也没有在野利用的报告。
什么是 CVE-2026-119618？
CVE-2026-119618 是一个严重的高危漏洞，涉及 Apache HTTP Server 中的竞态条件，由 Anthropic 和 Google Cloud 的漏洞研究团队独立发现。
具体而言，该缺陷存在于 HTTP/2 模块（mod_http2）的 assign_headers() 函数中。由于在执行共享资源的并发线程时同步不当，攻击者可触发堆损坏。这种内存损坏最终可被利用来在托管服务器上实现 RCE，使未授权的威胁行为者能够以 Web 服务器进程的权限执行任意命令。
Wiz Research 数据：对云环境的风险是什么？
在云环境中，运行容器化或虚拟化工作负载的受攻陷 Apache 实例可作为横向移动的入口点，可能暴露相邻的微服务或云元数据端点。
根据 Wiz 数据，64% 的云环境拥有易受 CVE-2026-119618 影响的资源，51% 的云环境拥有公开暴露的实例。请注意，这并未将配置纳入考量。
哪些产品受影响？
该漏洞影响在下表所列版本范围内使用 Apache HTTP Server 上 HTTP/2 能力的部署：
| 厂商 | 产品 | 受影响版本 | 已修复版本 |
|---|---|---|---|
| Apache Software Foundation | Apache HTTP Server | 从 2.4.55 到 2.4.70 | 2.4.71 及更新版本 |
| GitHub（开源） | mod_h2 模块 | 从 2.0.8 到 2.0.42 | 2.0.24 及更新版本 |
安全团队应采取哪些行动？
安全运营和工程团队应执行以下修复和缓解步骤：
1. 升级部署
- 升级 Apache HTTP Server：将受影响的安装更新至 Apache HTTP Server 版本 2.4.71 或更高版本。此版本修复了 assign_headers() 中的竞态条件。
- 更新独立模块：如果管理来自 GitHub 的独立 mod_h2 构建，请将该模块升级至高于 2.0.42 的版本。
2. 实施临时缓解措施
如果由于运营限制无法立即打补丁，请临时禁用 HTTP/2 支持以消除攻击向量。
- 编辑配置文件（如 httpd.conf），通过移除 h2 和 h2c 引用来将活动协议限制为 HTTP/1.1：
# Restrict protocols to HTTP/1.1
Protocols http/1.1
Wiz 客户可以使用 Wiz Threat Center 中预构建的查询和公告来搜索其环境中的易受攻击实例。
参考资料
- Apache HTTP Server 发布说明