#安全资讯 Apache HTTP Server 出现严重安全漏洞：攻击者可以在无需身份验证的情况下执行任意代码。该漏洞位于 HTTP/2 模块中，攻击者触发并发同步缺陷后可引起堆内存损坏。之后攻击者能以 Apache 工作进程的权限执行代码、访问该进程可以读取的数据。使用 Apache 的管理员请立即升级到 11 月 11 日发布的 2.4.71 版，若无法升级可以临时关闭 HTTP/2 连接。查看全文：https://ourl.co/128371

知名开源服务器软件 Apache HTTP Server 出现严重安全漏洞，攻击者可以在访问受影响服务的情况下，通过构造请求破坏服务器内存，进而以 Web 服务进程权限执行代码。

Apache 已经在 2026 年 11 月 11 日发布 HTTP Server 2.4.71 版修复该问题，建议使用 Apache 的网站立即升级，若暂时无法升级则可以临时关闭 HTTP/2 配置。

• Apache HTTP Server 2.4.55 到 2.4.70 版
• 单独从 GitHub 使用的 mod_h2 2.0.8 到 2.0.42

红帽公司表示该漏洞风险涉及通过 Protocols 指令启用 HTTP/2 的服务器，包括加密连接使用 H2 或明文连接使用的 H2C。这意味着管理员需要同时检查全局配置和各个虚拟主机配置，若网站前端部署 CDN 或反向代理，也需要检查 Apache 源站是否可以直接通过 HTTP/2 访问。

此次问题位于 mod_http2 的 assign_headers() 函数，HTTP/2 允许在同一个连接中并发处理多个请求，而受影响代码在处理共享资源时存在同步缺陷，可能导致堆内存破坏。

红帽称能够访问服务器的攻击者可能无需身份验证就可以触发漏洞，成功利用漏洞后攻击者能以 Apache 工作进程的权限执行代码、访问该进程可以读取的数据，这会威胁服务器上的业务。

值得注意的是该漏洞也是由 AI 发现的，此漏洞分别由 Anthropic OSS Scanner 开源项目扫描计划和 Google Cloud 漏洞研究团队发现，Anthropic 于 10 月 26 日向 Apache 基金会报告漏洞，谷歌云团队则在 11 月 3 日报告相同的漏洞。

消息源：Apache

热门推荐美国硅谷/韩国首尔VPS服务器，仅需99元/年。另有国内低延迟3年版服务器，仅需528元。库存有限售完即止。