Apache HTTP Server 项目在 11 月 11 日发布 2.4.71，修了 3 个漏洞：1 个严重、1 个重要、1 个低危。最重的是 CVE-2026-119618：HTTP/2 模块 mod_http2 的 assign_headers() 函数里有竞态问题，会造成堆内存损坏，官方写明可以导致远程代码执行。它影响 2.4.55 到 2.4.70（单独发布的 mod_h2 是 2.0.8 到 2.0.42）。美国国家漏洞库 11 月 11 日收录了这个编号，还没有给出评分；CISA 的 KEV 目录里没有它，目前也没有看到被利用的报告。用 nginx 的服务器不受影响。
三个漏洞分别是什么
- CVE-2026-119618（严重）：上面说的 mod_http2 远程代码执行。按 Apache 的记录，Anthropic 的开源扫描项目在 10 月 26 日报告，谷歌云漏洞研究团队在 11 月 3 日也独立报告，修复在 11 月 11 日随 2.4.71 发布。
- CVE-2026-106023（重要）：mod_md 处理请求时的空指针问题会让子进程崩溃，影响 2.4.30 到 2.4.70。mod_md 是 Apache 里自动申请和续期证书的模块，没启用它就不相关。
- CVE-2026-109163（低危）：mod_vhost_alias 有 1 个字节的栈越界写，只影响 2.4.69 和 2.4.70，是 10 月 1 日修复 CVE-2026-63292 之后留下的问题。
你的 Apache 在不在范围里
- 先看版本：Debian、Ubuntu 上是
apache2 -v，其他系统多是httpd -v。再用apachectl -M | grep http2看有没有加载 http2 模块，没有输出就说明没启用 HTTP/2。 - Debian：截至 11 月 12 日，Debian 12 和 13 现有的 2.4.67 到 2.4.69 各个包都标为 vulnerable，只有 unstable 定了修复版本
2.4.71-1。 - Ubuntu：11 月 10 日的 USN-9016-1 修的是上一批漏洞（2.4.69 那一批），修复版本是 22.04 的
2.4.52-1ubuntu4.26、24.04 的2.4.58-1ubuntu8.18和 26.04 的2.4.66-2ubuntu2.7，其中不包含这次的 CVE-2026-119618。按 Apache 给的范围，24.04 的 2.4.58 和 26.04 的 2.4.66 落在受影响区间里，22.04 的 2.4.52 不在；我们写稿时还查不到 Ubuntu 对这个编号的正式结论，以它的安全页面为准。
补丁到之前可以先做什么
Apache 的公告没有给临时缓解办法，只建议升级到 2.4.71。漏洞代码在 mod_http2 里，不加载这个模块，请求就走不到这段代码。所以在发行版补丁出来之前，一个稳妥的做法是先停用 HTTP/2：Debian、Ubuntu 上执行 sudo a2dismod http2 && sudo systemctl restart apache2。网站会退回 HTTP/1.1，照常能访问，只是页面资源多的站点会慢一些。装上修复包后再用 sudo a2enmod http2 打开并重启。自己编译的 Apache，或者用面板一键安装的，需要自己升级到 2.4.71 或等面板的软件源更新，面板的安全设置见宝塔面板安装与安全设置。
这是一个月里第二次主流 Web 服务器出严重漏洞，上一次是 nginx 10 月 14 日修的 5 个漏洞。mod_md 那个漏洞跟证书自动续期有关，证书配置见Let's Encrypt SSL 证书配置教程。如果服务器在这段时间出现异常进程或不明文件，按入侵排查与安全加固处理。