Projek Apache HTTP Server mengeluarkan 2.4.71 pada 11 November, membaiki 3 kerentanan: 1 kritikal, 1 penting dan 1 rendah. Yang paling teruk ialah CVE-2026-119618: keadaan perlumbaan dalam assign_headers() pada modul HTTP/2, mod_http2, merosakkan memori timbunan, dan Apache menyatakan bahawa ia boleh membawa kepada pelaksanaan kod jauh. Ia menjejaskan 2.4.55 hingga 2.4.70 (2.0.8 hingga 2.0.42 bagi mod_h2 yang dikeluarkan secara berasingan). Pangkalan Data Kerentanan Kebangsaan AS menyenaraikan CVE itu pada 11 November dan belum memberinya skor; ia tiada dalam katalog KEV CISA dan setakat ini kami tidak melihat sebarang laporan eksploitasi. Pelayan yang menjalankan nginx tidak terjejas.

Tiga Kelemahan Itu

  • CVE-2026-119618 (kritikal): pelaksanaan kod jauh dalam mod_http2 yang diterangkan di atas. Menurut rekod Apache, projek pengimbasan sumber terbuka Anthropic melaporkannya pada 26 Oktober, pasukan Google Cloud Vulnerability Research melaporkannya secara berasingan pada 3 November, dan pembaikannya dikeluarkan bersama 2.4.71 pada 11 November.
  • CVE-2026-106023 (penting): penyahrujukan penuding NULL dalam mod_md semasa pemprosesan permintaan menyebabkan satu proses anak ranap; ia menjejaskan 2.4.30 hingga 2.4.70. mod_md ialah modul Apache untuk mendapatkan dan memperbaharui sijil secara automatik, jadi kelemahan ini tidak berkaitan dengan anda jika anda tidak mengaktifkannya.
  • CVE-2026-109163 (rendah): penulisan lampau 1 bait pada penimbal tindanan dalam mod_vhost_alias yang hanya menjejaskan 2.4.69 dan 2.4.70, iaitu sisa yang tertinggal selepas pembaikan CVE-2026-63292 pada 1 Oktober.

Adakah Apache Anda Termasuk dalam Julat Terjejas

  • Semak versi dahulu: apache2 -v pada Debian dan Ubuntu, biasanya httpd -v pada sistem lain. Kemudian jalankan apachectl -M | grep http2 untuk melihat sama ada modul http2 dimuatkan; tiada output bermakna HTTP/2 tidak diaktifkan.
  • Debian: setakat 12 November, setiap pakej daripada 2.4.67 hingga 2.4.69 dalam Debian 12 dan 13 ditandakan sebagai terjejas (vulnerable), dan hanya unstable yang sudah mempunyai versi pembaikan yang ditetapkan, 2.4.71-1.
  • Ubuntu: USN-9016-1 pada 10 November membaiki kumpulan kelemahan sebelumnya (kumpulan 2.4.69), dengan versi yang dibaiki 2.4.52-1ubuntu4.26 pada 22.04, 2.4.58-1ubuntu8.18 pada 24.04 dan 2.4.66-2ubuntu2.7 pada 26.04, dan ia tidak merangkumi CVE-2026-119618. Berdasarkan julat yang dinyatakan Apache, 2.4.58 pada 24.04 dan 2.4.66 pada 26.04 termasuk dalam versi yang terjejas manakala 2.4.52 pada 22.04 tidak; ketika artikel ini ditulis, kami tidak menemui penilaian Ubuntu sendiri bagi CVE itu, jadi rujuklah halaman keselamatannya.

Apa yang Boleh Anda Lakukan Sebelum Tampalan Tiba

Nasihat keselamatan Apache tidak menyenaraikan sebarang mitigasi sementara dan hanya mengesyorkan naik taraf kepada 2.4.71. Kod yang bermasalah berada dalam mod_http2, dan permintaan tidak akan sampai kepadanya apabila modul itu tidak dimuatkan. Jadi, sehingga pengedaran anda mengeluarkan tampalan, satu pilihan yang berhati-hati ialah mematikan HTTP/2: pada Debian dan Ubuntu, jalankan sudo a2dismod http2 && sudo systemctl restart apache2. Laman web akan kembali menggunakan HTTP/1.1 dan terus berfungsi, cuma halaman yang mempunyai banyak sumber akan dimuatkan agak lebih perlahan. Selepas memasang pakej yang telah dibaiki, aktifkannya semula dengan sudo a2enmod http2 dan mulakan semula. Jika anda mengkompil Apache sendiri atau memasangnya melalui panel kawalan, anda perlu menaik taraf kepada 2.4.71 sendiri atau menunggu repositori panel itu; tetapan keselamatan panel ada dalam panduan pemasangan dan keselamatan aaPanel kami.

Ini kali kedua dalam sebulan sebuah pelayan web arus perdana mengalami kelemahan serius; yang sebelumnya ialah 5 kelemahan yang dibaiki nginx pada 14 Oktober. Kelemahan mod_md berkaitan dengan pembaharuan sijil automatik, dan penyediaan sijil diterangkan dalam tutorial SSL Let's Encrypt kami. Jika pelayan menunjukkan proses yang tidak dikenali atau fail yang tidak diketahui asal usulnya dalam tempoh ini, ikuti panduan siasatan pencerobohan dan pengukuhan kami.