Apache HTTP Server 專案在 11 月 11 日發布 2.4.71，修了 3 個漏洞：1 個嚴重、1 個重要、1 個低危。最重的是 CVE-2026-119618：HTTP/2 模組 mod_http2 的 assign_headers() 函式裡有競爭條件問題，會造成堆積記憶體損毀，官方寫明可以導致遠端程式碼執行。它影響 2.4.55 到 2.4.70（單獨發布的 mod_h2 是 2.0.8 到 2.0.42）。美國國家漏洞資料庫 11 月 11 日收錄了這個編號，還沒有給出評分；CISA 的 KEV 目錄裡沒有它，目前也沒有看到被利用的報告。用 nginx 的伺服器不受影響。
三個漏洞分別是什麼
- CVE-2026-119618（嚴重）：上面說的 mod_http2 遠端程式碼執行。按 Apache 的記錄，Anthropic 的開源掃描專案在 10 月 26 日報告，Google Cloud 漏洞研究團隊在 11 月 3 日也獨立報告，修復在 11 月 11 日隨 2.4.71 發布。
- CVE-2026-106023（重要）：mod_md 處理請求時的空指標問題會讓子程序崩潰，影響 2.4.30 到 2.4.70。mod_md 是 Apache 裡自動申請和續期憑證的模組，沒啟用它就不相關。
- CVE-2026-109163（低危）：mod_vhost_alias 有 1 個位元組的堆疊越界寫入，只影響 2.4.69 和 2.4.70，是 10 月 1 日修復 CVE-2026-63292 之後留下的問題。
你的 Apache 在不在範圍裡
- 先看版本：Debian、Ubuntu 上是
apache2 -v，其他系統多是httpd -v。再用apachectl -M | grep http2看有沒有載入 http2 模組，沒有輸出就說明沒啟用 HTTP/2。 - Debian：截至 11 月 12 日，Debian 12 和 13 現有的 2.4.67 到 2.4.69 各個套件都標為 vulnerable，只有 unstable 定了修復版本
2.4.71-1。 - Ubuntu：11 月 10 日的 USN-9016-1 修的是上一批漏洞（2.4.69 那一批），修復版本是 22.04 的
2.4.52-1ubuntu4.26、24.04 的2.4.58-1ubuntu8.18和 26.04 的2.4.66-2ubuntu2.7，其中不包含這次的 CVE-2026-119618。按 Apache 給的範圍，24.04 的 2.4.58 和 26.04 的 2.4.66 落在受影響區間裡，22.04 的 2.4.52 不在；我們寫稿時還查不到 Ubuntu 對這個編號的正式結論，以它的安全頁面為準。
修補程式到之前可以先做什麼
Apache 的公告沒有給臨時緩解辦法，只建議升級到 2.4.71。漏洞程式碼在 mod_http2 裡，不載入這個模組，請求就走不到這段程式碼。所以在發行版修補程式出來之前，一個穩妥的做法是先停用 HTTP/2：Debian、Ubuntu 上執行 sudo a2dismod http2 && sudo systemctl restart apache2。網站會退回 HTTP/1.1，照常能瀏覽，只是頁面資源多的網站會慢一些。裝上修正套件後再用 sudo a2enmod http2 開啟並重啟。自己編譯的 Apache，或者用面板一鍵安裝的，需要自己升級到 2.4.71 或等面板的套件庫更新，面板的安全設定見寶塔面板安裝與安全設定。
這是一個月裡第二次主流 Web 伺服器出嚴重漏洞，上一次是 nginx 10 月 14 日修的 5 個漏洞。mod_md 那個漏洞跟憑證自動續期有關，憑證設定見Let's Encrypt SSL 憑證設定教學。如果伺服器在這段時間出現異常程序或不明檔案，按入侵排查與安全加固處理。