Apache 重大漏洞 CVE-2026-119618 懶人包：影響版本、檢查方式與修補

Apache 重大漏洞 CVE-2026-119618 懶人包：影響版本、檢查方式與修補

2026/11/14 資安新聞 4 次瀏覽 閱讀約 7 分鐘

Apache 漏洞 CVE-2026-119618 是 Apache HTTP Server 的 HTTP/2 模組（mod_http2）重大漏洞，未經身分驗證的攻擊者可能遠端執行程式碼，影響 2.4.55 到 2.4.70 版。Apache 已於 2026 年 11 月 11 日發布 2.4.71 修補，有啟用 HTTP/2 的網站與反向代理伺服器應儘速更新。

用 Apache 架設官網、會員系統或 API 閘道的企業，這週要做的事很明確：確認版本、確認是否開啟 HTTP/2，再決定更新或暫時關閉 HTTP/2。不確定公司有哪些對外主機在跑 Apache，可以參考我們的 弱點掃描服務。

資訊截至 2026 年 11 月 14 日。本文會隨原廠與各發行版的後續公告更新。

Apache 漏洞經過：時間軸

這個 Apache 漏洞從通報到修補不到三週。修補版本公開後，Red Hat 隨即將嚴重度評為 Critical。以下依 Apache 官方安全公告與 Red Hat 漏洞資料整理：

日期經過來源
10 月 26 日Anthropic 的開源程式掃描工具向 Apache 安全團隊通報Apache
11 月 3 日Google Cloud 漏洞研究團隊另行通報同一問題Apache
11 月 11 日Apache 發布 2.4.71，修補 3 個漏洞，其中 CVE-2026-119618 為 CriticalApache
11 月 11 日Red Hat 公布 CVSS 3.1 評分 9.8，並陸續推出 RHEL 修補套件Red Hat
11 月 14 日尚未列入美國 CISA 已知遭利用漏洞目錄（KEV）CISA

依 Apache 公告，這是 mod_http2 在 assign_headers() 處理並行請求時缺乏同步保護的競爭條件（race condition），可能造成記憶體損毀並導致遠端程式碼執行。Red Hat 的說明更直接：已有公開研究證實，可對預設設定、啟用 mod_http2 的伺服器穩定利用。

Apache 漏洞成因示意，HTTP/2 多個請求同時寫入同一塊共用記憶體造成損毀
競爭條件讓記憶體被同時改寫

哪些 Apache 版本受影響？

受影響的是 Apache HTTP Server 2.4.55 至 2.4.70，以及從 GitHub 安裝的 mod_h2 模組 2.0.8 至 2.0.42，而且必須有啟用 HTTP/2。Red Hat 指出，只服務 HTTP/1.1 的伺服器不受影響。

環境是否受影響該怎麼做
Apache 2.4.55～2.4.70，已啟用 HTTP/2受影響更新到 2.4.71
Apache 2.4.55～2.4.70，只用 HTTP/1.1不受此漏洞影響仍建議更新到 2.4.71
Apache 2.4.54 以前不在此漏洞範圍版本過舊，另有其他已知漏洞，應規劃升級
RHEL 9、RHEL 10受影響，Red Hat 評為 Important安裝 Red Hat 公告的 mod_http2 修補套件
RHEL 8 以前Red Hat 表示不受影響依發行版一般更新

Red Hat 把 RHEL 9 與 RHEL 10 評為 Important 而非 Critical，原因是這兩個版本的 mod_http2 為每個 HTTP/2 串流分配獨立記憶體，攻擊難度大幅提高，但仍應更新。使用 Ubuntu、Debian 或其他發行版的伺服器，請以各發行版的安全更新為準。

同一次更新還修補了 mod_md 的空指標問題（CVE-2026-106023，Important），可能讓子程序當機，影響 2.4.30 至 2.4.70；以及 mod_vhost_alias 的低風險漏洞（CVE-2026-109163）。

怎麼檢查自己有沒有受影響？

檢查分兩步：先確認版本，再確認是否啟用 HTTP/2。兩者都符合，才在這次 Apache 漏洞的直接風險範圍內。版本落後本身，就值得處理。

#檢查項目怎麼確認已確認
1列出所有對外的 Apache 主機，包含反向代理與舊專案主機資產清冊、對外 IP 清單☐
2確認 Apache 版本在主機上執行 httpd -v 或 apache2 -v☐
3確認是否載入 mod_http2httpd -M 或 apache2ctl -M 是否列出 http2_module☐
4確認是否啟用 HTTP/2設定檔中 Protocols 指令是否包含 h2 或 h2c☐
5確認使用的是發行版套件還是自行編譯決定要等發行版更新，還是自行升級☐
6確認容器映像檔版本檢查 httpd 官方映像或自建映像的 Apache 版本☐

實務上最常漏掉的是第 1 項與第 6 項：早期專案留下的測試站、行銷活動頁，以及用 Docker 映像打包的服務，往往不在 IT 部門的更新清單上。這也是 PHP 漏洞 事件中企業最常遇到的盲點。

Apache 漏洞檢查，IT 人員逐台確認對外主機的 Apache 版本與 HTTP/2 設定
版本與 HTTP/2 設定逐台確認

修補與暫時緩解怎麼做？

根本解法是更新到 Apache 2.4.71，或安裝發行版提供的修補套件。暫時無法更新的伺服器，可以先關閉 HTTP/2，讓連線改用 HTTP/1.1，降低被利用的風險。

  1. 更新：自行編譯者升級到 2.4.71；使用 RHEL、Ubuntu 等發行版者，安裝官方修補套件後重新啟動 Apache。
  2. 暫時關閉 HTTP/2：從設定檔的 Protocols 指令移除 h2 與 h2c，改為只保留 http/1.1，重新啟動後確認生效。這會影響部分網站效能，修補完成後再恢復。
  3. 檢查異常：查看近期 Apache 錯誤日誌是否有不明的子程序異常結束、重啟紀錄，以及伺服器上是否出現不明檔案或排程。
  4. 記錄：把每台主機的版本、處理方式與完成時間記下來，作為後續稽核與 修補管理 的紀錄。

前端有 Nginx、負載平衡器或 CDN 時，要看 Apache 本身有沒有直接收到 HTTP/2 連線。前端只用 HTTP/1.1 轉送給 Apache 時，風險較低；但只要 Apache 對內或對外啟用了 h2 或 h2c，仍應更新。

Apache 漏洞暫時緩解，系統管理員關閉 HTTP/2 並排程更新 2.4.71
先止血，再完成更新

對企業的影響：漏洞修補要用小時計

這次漏洞由 Anthropic 的開源程式掃描工具與 Google 研究團隊先後發現，從通報到修補不到三週，修補公開後細節也很快被各界分析。數位發展部資通安全署 11 月 11 日已提醒企業，在重大資安警訊發布後 72 小時內完成更新、修補或關閉相關功能。

對使用 Apache 的企業來說，這次 Apache 漏洞的意義很實際：對外網站不能只靠每季更新，需要能在幾天內盤點、判斷、修補的流程。定期以 弱點掃描 掌握對外主機的版本與服務，才能在下一次警訊出現時，馬上知道自己有沒有受影響。

Apache 漏洞常見問題

只用 HTTP/1.1 會受影響嗎？

依 Red Hat 說明，只服務 HTTP/1.1、沒有在 Protocols 指令啟用 h2 或 h2c 的伺服器，不受 CVE-2026-119618 影響。不過同一版本還修補了其他漏洞，版本在受影響範圍內仍建議更新到 2.4.71。

有被利用了嗎？

截至 11 月 14 日，這個漏洞尚未列入美國 CISA 的已知遭利用漏洞目錄，也還沒有大規模攻擊的公開報告。但 Red Hat 表示已有公開研究證實可穩定利用，加上 Apache 使用普遍，企業不應等到出現攻擊報告才處理。

前端有 Cloudflare，還需要修嗎？

需要確認。Cloudflare 等 CDN 與源站之間的連線不一定使用 HTTP/2，但若源站 Apache 對外開放、或對內網啟用了 HTTP/2，攻擊者仍可能繞過 CDN 直接連線。最安全的做法是更新源站，並限制源站只接受 CDN 的連線。

參考資料

  1. Apache HTTP Server 2.4 vulnerabilities – 2.4.71 修補的 3 個漏洞、受影響版本與通報時間。Apache Software Foundation · 2026 年 11 月 11 日
  2. CVE-2026-119618 – CVSS 9.8、利用條件、RHEL 嚴重度與修補套件。Red Hat
  3. Apache修補網頁伺服器HTTP/2模組的重大漏洞，64%雲端環境恐曝險 – 漏洞說明與暫時緩解建議。iThome · 2026 年 11 月 13 日
  4. 因應國際AI網攻威脅 資安署籲企業「補漏洞、快通知、個資最小化」 – 重大警訊發布後 72 小時內完成處置的建議。數位發展部資通安全署 · 民國 115 年 11 月 11 日

相關文章

查看更多