Apache HTTP Server出现严重安全漏洞 开启HTTP/2的服务器可能被远程代码执行
Apache HTTP Server 出现严重安全漏洞：攻击者可以在无需身份验证的情况下执行任意代码。该漏洞位于 HTTP/2 模块中，攻击者触发并发同步缺陷后可引起堆内存损坏。之后攻击者能以 Apache 工作进程的权限执行代码、访问该进程可以读取的数据。使用 Apache 的管理员请立即升级到 11 月 11 日发布的 2.4.71 版，若无法升级可以临时关闭 HTTP/2 连接。
知名开源服务器软件 Apache HTTP Server 出现严重安全漏洞，攻击者可以在访问受影响服务的情况下，通过构造请求破坏服务器内存，进而以 Web 服务进程权限执行代码。
Apache 已经在 2026 年 11 月 11 日发布 HTTP Server 2.4.71 版修复该问题，建议使用 Apache 的网站立即升级，若暂时无法升级则可以临时关闭 HTTP/2 配置。
哪些服务器受影响：
Apache HTTP Server 2.4.55 到 2.4.70 版
单独从 GitHub 使用的 mod_h2 2.0.8 到 2.0.42
红帽公司表示该漏洞风险涉及通过 Protocols 指令启用 HTTP/2 的服务器，包括加密连接使用 H2 或明文连接使用的 H2C。这意味着管理员需要同时检查全局配置和各个虚拟主机配置，若网站前端部署 CDN 或反向代理，也需要检查 Apache 源站是否可以直接通过 HTTP/2 访问。
漏洞是怎么产生的： 此次问题位于 mod_http2 的 assign_headers() 函数，HTTP/2 允许在同一个连接中并发处理多个请求，而受影响代码在处理共享资源时存在同步缺陷，可能导致堆内存破坏。
红帽称能够访问服务器的攻击者可能无需身份验证就可以触发漏洞，成功利用漏洞后攻击者能以 Apache 工作进程的权限执行代码、访问该进程可以读取的数据，这会威胁服务器上的业务。
值得注意的是该漏洞也是由 AI 发现的，此漏洞分别由 Anthropic OSS Scanner 开源项目扫描计划和 Google Cloud 漏洞研究团队发现，Anthropic 于 10 月 26 日向 Apache 基金会报告漏洞，谷歌云团队则在 11 月 3 日报告相同的漏洞。
关于作者
评论1次
这个得尽快处理，不能当成普通的 HTTP/2 拒绝服务。
mod_http2的并发同步缺陷可能导致堆内存破坏，利用成功后就是 Apache Worker 权限的 RCE，而且未认证请求也可能触发。建议先确认实际版本和模块来源：能升级就直接升到 Apache HTTP Server 2.4.71；独立编译的
mod_h2也要确认已更新到官方修复版本，别只升级了 httpd 却留着旧模块。暂时不能升级的话，把全局配置和各虚拟主机里的Protocols都改成：然后执行
apachectl -k graceful，H2 和 H2C 都会一起停用。要注意，前端 CDN/反代关了 HTTP/2 不代表安全，Apache 源站如果还能被直接访问，也要检查源站端口和Protocols配置。单纯限流解决不了这种内存破坏问题，核心就是升级版本或临时关闭 HTTP/2。