[业内新闻动态] [【转载】] Apache HTTP Server出现严重安全漏洞 开启HTTP/2的服务器可能被远程代码执行

知名开源服务器软件 Apache HTTP Server 出现严重安全漏洞，攻击者可以在访问受影响服务的情况下，通过构造请求破坏服务器内存，进而以 Web 服务进程权限执行代码。

Apache 已经在 2026 年 11 月 11 日发布 HTTP Server 2.4.71 版修复该问题，建议使用 Apache 的网站立即升级，若暂时无法升级则可以临时关闭 HTTP/2 配置。 哪些服务器受影响： Apache HTTP Server 2.4.55 到 2.4.70 版 单独从 GitHub 使用的 mod_h2 2.0.8 到 2.0.42 红帽公司表示该漏洞风险涉及通过 Protocols 指令启用 HTTP/2 的服务器，包括加密连接使用 H2 或明文连接使用的 H2C。这意味着管理员需要同时检查全局配置和各个虚拟主机配置，若网站前端部署 CDN 或反向代理，也需要检查 Apache 源站是否可以直接通过 HTTP/2 访问。

漏洞是怎么产生的： 此次问题位于 mod_http2 的 assign_headers() 函数，HTTP/2 允许在同一个连接中并发处理多个请求，而受影响代码在处理共享资源时存在同步缺陷，可能导致堆内存破坏。

红帽称能够访问服务器的攻击者可能无需身份验证就可以触发漏洞，成功利用漏洞后攻击者能以 Apache 工作进程的权限执行代码、访问该进程可以读取的数据，这会威胁服务器上的业务。

值得注意的是该漏洞也是由 AI 发现的，此漏洞分别由 Anthropic OSS Scanner 开源项目扫描计划和 Google Cloud 漏洞研究团队发现，Anthropic 于 10 月 26 日向 Apache 基金会报告漏洞，谷歌云团队则在 11 月 3 日报告相同的漏洞。

这个得尽快处理，不能当成普通的 HTTP/2 拒绝服务。mod_http2 的并发同步缺陷可能导致堆内存破坏，利用成功后就是 Apache Worker 权限的 RCE，而且未认证请求也可能触发。建议先确认实际版本和模块来源：

apachectl -v
apachectl -M | grep -i http2
grep -RniE 'Protocols.*(h2|http/2)|LoadModule[[:space:]]+http2_module' /etc/httpd /etc/apache2 2>/dev/null

能升级就直接升到 Apache HTTP Server 2.4.71；独立编译的 mod_h2 也要确认已更新到官方修复版本，别只升级了 httpd 却留着旧模块。暂时不能升级的话，把全局配置和各虚拟主机里的 Protocols 都改成：

Protocols http/1.1

然后执行 apachectl -k graceful，H2 和 H2C 都会一起停用。要注意，前端 CDN/反代关了 HTTP/2 不代表安全，Apache 源站如果还能被直接访问，也要检查源站端口和 Protocols 配置。单纯限流解决不了这种内存破坏问题，核心就是升级版本或临时关闭 HTTP/2。