Apache 在 11 月 11 日發布 HTTP Server 2.4.71，修補三項漏洞。若站點由 Apache 本身接收 HTTP/2，請優先檢查 mod_http2。原廠把其中的 CVE-2026-119618 列為最高嚴重度，可能造成遠端程式碼執行。
核對版本及載入的模組
| 漏洞與模組 | 受影響的 httpd | 上游修補 |
|---|---|---|
| CVE-2026-119618 mod_http2 |
2.4.55–2.4.70 | 2.4.71 |
| CVE-2026-106023 mod_md |
2.4.30–2.4.70 | 2.4.71 |
| CVE-2026-109163 mod_vhost_alias |
2.4.69–2.4.70 | 2.4.71 |
第一項與 HTTP/2 模組處理請求時的並行問題有關，可能破壞記憶體。第二項可能在 mod_md 處理 HTTP 請求時令子程序停止。第三項則涉及 mod_vhost_alias 的記憶體越界寫入。原廠公告未通報這三項已出現在野利用。
如果前面有 CDN 或反向代理，請分開核對訪客到代理、代理到 Apache 的協定，以及 Apache 是否還有其他入口。使用獨立安裝的 mod_h2 時，原廠列出的受影響範圍是 2.0.8–2.0.42。該獨立專案已封存，模組現由 Apache httpd 專案維護。請核對實際載入的模組，並確認它來自含修補的 Apache 套件。
主機套件可能用原版本號回移修補
自行維護上游版本可更新至 2.4.71 或以上。若用 Linux 發行版或代管主機的套件，請查供應商對這三個 CVE 的修補紀錄，確認安裝的套件版本已包含修補。更新後先檢查 Apache 設定，再按維護流程重啟或重新部署，最後確認對外服務確實由更新後的程序提供，並在自己的站點核對 HTTP/2、憑證和主要頁面。
封面為 AI 生成的概念插圖。
參考資料
原文鏈接：https://wntheme.com/apache-httpd-2-4-71-security-update/，轉載請註明出處。
