Apache HTTP Server的HTTP/2模块曝出严重远程代码执行漏洞，编号CVE-2026-119618。漏洞源于mod_http2模块assign_headers函数中的竞态条件：多线程并发执行时共享资源同步不当，未经身份验证的远程攻击者可破坏堆内存，进而执行任意代码。这一缺陷的评级为严重，影响面覆盖全球大量Web服务器。
该漏洞由Anthropic与谷歌云漏洞研究团队各自独立发现。Wiz的数据显示，64%的云环境中存在受影响的资源，其中51%的云环境还有可公开访问的实例。截至报告发布时，尚未出现公开的利用代码，也没有野外利用的报告，留给各机构的修复窗口仍然存在。
受影响的版本范围是Apache HTTP Server 2.4.55至2.4.70，官方已在2.4.71及更新版本中修复。独立的mod_h2模块2.0.8至2.0.42版本同样受影响，需要升级到2.0.42之后的版本。管理员应先核对自身部署的版本号，再决定升级路径。
影响范围与修复版本
作为临时缓解措施，无法立即打补丁的管理员可以暂时关闭HTTP/2支持，把协议限制为HTTP/1.1，从而消除攻击面。Wiz建议安全团队优先升级对外暴露的实例，再分批处理内网部署，把有限的变更窗口用在风险最高的地方。
Apache HTTP Server是全球部署最广泛的Web服务器之一，这类底层漏洞的影响面历来很大。云环境中的一台被攻陷的Apache实例，还可能成为横向移动的跳板，威胁相邻微服务与云元数据接口。一次成功的入侵，往往只是更大范围渗透的起点。
漏洞的发现过程也值得注意：两家顶级研究团队各自独立找到了同一处缺陷，说明这处竞态条件并非难以触及的角落，而是HTTP/2实现中一个真实存在的薄弱环节。并发代码中的同步问题，向来是安全审计中最难彻底消除的一类隐患。
先打补丁，再谈其他
对运维团队来说，正确的顺序是先清点资产：确认哪些实例开启了HTTP/2、版本是否落在受影响区间，再把升级排进最优先的变更窗口。补丁已经就绪，拖延只会拉长暴露时间，而攻击者不会等待。
这次漏洞也再次提醒，开源基础设施的安全依赖上游的快速响应与下游的及时跟进。发现者、厂商与云厂商的联动越快，用户侧的风险窗口就越短。任何一环的迟滞，都会被放大成真实的入侵事件。
值得庆幸的是，漏洞是在被大规模利用之前公开的，修复版本也已同步发布。接下来比拼的，就是各家机构打补丁的速度与覆盖面。谁先完成升级，谁就先脱离了攻击者的目标清单。