警告：Apache HTTP 服务器中的严重缺陷导致 DoS 和远程代码执行 (RCE) 攻击-IT新闻-PHP中文网

cve-2026-23918是apache http server 2.4.66中的高危双重释放漏洞，cvss评分8.8，可导致拒绝服务和远程代码执行，已在2.4.67版本修复。

警告：apache http 服务器中的严重缺陷导致 dos 和远程代码执行 (rce) 攻击 - php中文网

广泛使用的 Apache HTTP Server 中新披露的一个高严重性漏洞正在引起网络安全专家的紧急警告，研究人员证明该漏洞可被利用来触发拒绝服务 (DoS) 攻击，并在某些条件下实现远程代码执行 (RCE)。

该问题编号为 CVE-2026-23918，CVSS 评分为 8.8，影响服务器版本 2.4.66。它已在版本 2.4.67 中进行了修补，该版本由 Apache Software Foundation 发布，作为解决多个漏洞的更广泛安全更新的一部分。

CVE-2026-23918 的核心在于一个被称为双重释放的经典内存管理缺陷，该缺陷发生在服务器的 HTTP/2 处理模块 (mod_http2) 内。虽然此类错误在低级系统编程中并不罕见，但当它们出现在像 Apache 这样广泛部署的软件中时，其影响可能会很严重。

该漏洞由 Striga.ai 联合创始人 Bartłomiej Dmitruk 和 ISEC.pl 研究员 Stanisław Strzałkowski 发现。他们的分析表明，精心设计的 HTTP/2 帧序列可能会导致服务器两次释放相同的内存结构，从而导致内存损坏。

具体来说，当客户端在服务器内部完全注册该流之前在同一 HTTP/2 流上发送一个 HEADERS 帧并紧接着发送一个 RST_STREAM 帧时，就会触发该缺陷。此序列会导致重复的清理操作，最终导致同一指针被释放两次。

从崩溃到代码执行

安全研究人员强调，利用这一缺陷可以采取两条不同的途径——一条不那么关键，另一条更复杂，但危险性更大。

DoS 场景因其简单性而特别令人担忧。根据 Dmitruk 的说法，攻击者只需要：

这种最小的设置可能会导致 Apache 多线程配置中的工作进程崩溃。虽然服务器会自动重生崩溃的工作程序，但重复利用可能会造成持续的中断，从而有效降低服务可用性。

更严重的情况涉及实现远程代码执行，研究人员在受控条件下成功演示了这一点。

攻击链通过 Apache Portable Runtime (APR) 来利用内存重用，特别是在配置基于 mmap 的分配器时——这在基于 Debian 的系统和官方 Docker 镜像中很常见。

通过仔细操纵内存分配模式，攻击者可以：

促成这种攻击的一个关键因素是 Apache 的记分板内存，这是一个持久的共享内存区域，即使存在 ASLR（地址空间布局随机化）等现代保护措施，它也能在服务器的整个生命周期中保持稳定的地址。

Apache 2.4.62

Apache 2.4.62 官方 tar.gz 源码包是 Linux 及类 Unix 系统构建 Web 服务器的核心基础。通过源码编译安装，开发者能够灵活定制模块、优化性能并精准控制安装路径，满足多样化的业务需求。

下载

研究人员警告说，虽然这种利用路径需要额外的步骤（例如获取内存布局信息和执行堆喷射），但它仍然实用。在实验室环境中，几分钟内即可成功利用。

CVE-2026-23918 最令人担忧的方面之一是其潜在影响的广度。 HTTP/2 支持在现代 Web 基础设施中广泛启用，并且许多默认 Apache 版本中都包含易受攻击的 mod_http2 模块。

然而，并非所有部署都受到同样的影响。使用 prefork 多处理模块 (MPM) 的系统不易受到攻击，而高性能环境中常见的多线程配置则容易受到攻击。

鉴于 Apache 在为全球 Web 服务器提供支持方面发挥着主导作用，该漏洞对企业系统、云平台和容器化环境构成重大风险。

除了 CVE-2026-23918 之外，Apache 软件基金会的最新更新还解决了其他几个严重程度较低的问题：

虽然这些缺陷单独来看不太严重，但专家指出，攻击者经常将漏洞链接在一起，从而增加了全面修补的重要性。

管理员应立即采取行动来降低风险：

CVE-2026-23918 的发现凸显了保护 Web 服务器等复杂、性能关键型软件的持续挑战。尽管经过数十年的缓解努力，内存安全问题（尤其是 C 等语言）仍然存在风险。

此事件还凸显了一个反复出现的模式：广泛部署的基础设施软件中的漏洞可能很快成为攻击者的高价值目标，特别是当利用需要最少的交互时。

随着组织越来越依赖 HTTP/2 来提高性能，速度和安全性之间的平衡仍然是一个关键问题。