Apache 已发布修复版本 2.4.71
该漏洞存在于处理HTTP/2 协定的核心模组中，一旦遭黑客利用，无须通过任何身份验证即可在远端执行任意程式码（RCE）或导致伺服器崩溃。
鉴于全球高达64% 的云端环境均受此漏洞影响，资安专家强烈呼吁所有系统管理员，立即放下手上的花生，并将Apache HTTP Server 升级至2.4.71 版本。
根据Apache 官方公告与美国国家漏洞资料库（NVD）纪录，CVE-2026-119618 属于「共享资源并发执行且同步不当」（Concurrent Execution using Shared Resource with Improper Synchronization，CWE-362）引发的竞争条件（Race Condition）漏洞。
缺陷具体位于mod_http2 模组内的assign_headers() 函式，当多执行绪在并发处理共享资源时若未能妥善同步，攻击者便能借此触发堆积记忆体损毁（Heap Corruption），进而劫持程式执行流程并取得伺服器程序的控制权。
在风险评级方面，红帽（Red Hat）与Tenable 均给予该漏洞9.8 分（最高10 分）的「严重」（Critical）级别评价，部分机构更给出10.0 满分。由于攻击过程无须任何前置认证或使用者互动，只要目标伺服器对外开放HTTP/2 连线即面临直接风险。
云端资安机构Wiz 发布的风险评估报告指出，CVE-2026-119618 对全球网络基础设施构成广泛威胁。数据显示，全球高达64% 的云端环境中包含受此漏洞影响的伺服器资源，其中更有51% 的云端环境存在直接暴露于公开互联网的执行个体（Instance）。
研究人员警告，在容器化或虚拟化架构中，一旦执行Apache 的节点遭到入侵，攻击者便能以此作为跳板在内部网络进行横向移动，进而存取相邻的微服务或云端中继资料（Metadata）端点。
via 𝒁𝒊𝑹𝑪𝑶𝑵
