Apache HTTP服务器漏洞引发大规模RCE攻击风险

Apache软件基金会已发布关键安全更新，为全球广泛使用的Apache HTTP服务器提供了重要补丁。最新发布的2.4.67版本修复了五个安全漏洞，其中包括一个高危的远程代码执行漏洞。建议所有运行2.4.66或更早版本的用户立即安排升级。

在本次修复的漏洞中，最值得关注的是编号为CVE-2026-23918的高危漏洞，其CVSS基础评分为8.8分。该漏洞存在于Apache HTTP/2协议实现中，具体涉及处理“早期流重置”序列时触发的双重释放内存损坏问题。

双重释放是指程序尝试两次释放同一块内存区域，这会破坏堆内存结构。攻击者可能利用此漏洞操控程序执行流程，最终实现远程代码执行。需要指出的是，此漏洞仅影响2.4.66版本。它最初由striga.ai的Bartlomiej Dmitruk和isec.pl的Stanislaw Strzalkowski于2025年12月10日报告，Apache安全团队在次日完成修复，最终随2026年5月4日发布的2.4.67版本一同更新。

另一个值得注意的漏洞是CVE-2026-24072，被评定为中等严重性。它涉及`mod_rewrite`模块在使用`ap_expr`表达式评估时的问题，允许本地用户通过`.htaccess`文件以httpd进程权限读取服务器上的任意文件，构成权限提升风险。该漏洞影响2.4.66及更早版本，由研究人员y7syeu于2026年1月20日报告。

其他已修复的安全漏洞

除了上述两个漏洞，Apache HTTP Server 2.4.67还修复了以下三个严重性相对较低的问题：

• CVE-2026-28780：`mod_proxy_ajp`模块`ajp_msg_check_header()`函数中的堆缓冲区溢出漏洞。当`mod_proxy_ajp`连接到恶意AJP服务器时，攻击者可能通过特制AJP消息在堆缓冲区末尾写入4个可控字节。该漏洞由四位研究人员在2026年2月至3月期间独立报告。
• CVE-2026-29168：`mod_md`模块中OCSP响应处理程序的资源耗尽漏洞。由于缺乏上限，攻击者可通过发送超大的OCSP响应数据耗尽服务器资源。该漏洞影响2.4.30至2.4.66版本，由艾斯尔研究公司的帕维尔·科胡特于2026年3月2日报告。
• CVE-2026-29169：`mod_da v_lock`模块中的空指针解引用漏洞，攻击者可通过恶意请求导致服务器崩溃。需注意，`mod_da v_lock`模块并非`mod_da v`或`mod_da v_fs`的内部模块，目前已知其唯一用途是服务于1.2.0版本之前的Apache Subversion (`mod_da v_svn`)。若无法立即升级，管理员可通过移除`mod_da v_lock`模块临时缓解此漏洞。

立即实施的缓解措施

鉴于Apache HTTP服务器在全球基础设施中的广泛部署，CVE-2026-23918带来的远程代码执行风险需高度重视。管理员应立即评估并采取以下措施：

1. 升级至Apache HTTP Server 2.4.67：这是修复所有五个漏洞最彻底、最推荐的方法。
2. 临时禁用HTTP/2协议：若无法立即升级，为降低CVE-2026-23918的暴露风险，可考虑暂时禁用HTTP/2。
3. 移除`mod_da v_lock`模块：若确认环境中未使用该模块（例如未运行旧版Subversion），可将其移除作为CVE-2026-29169的临时应对方案。
4. 审计`.htaccess`文件权限：在存在本地用户访问风险的环境中，应严格审计和限制`.htaccess`文件权限，以防范CVE-2026-24072漏洞被利用。