Apache HTTP服务器漏洞允许攻击者在单个HTTP/2请求下崩溃或接管数百万台Web服务器-IT新闻-PHP中文网

cve-2026-23918是apache http server 2.4.66中http/2模块的双自由漏洞，可导致崩溃或远程代码执行；仅需一个畸形http/2请求即可触发，无需认证，修复方式为升级至2.4.67。

apache http服务器漏洞允许攻击者在单个http/2请求下崩溃或接管数百万台web服务器 - php中文网

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

只需一个畸形的网页请求即可。2026年5月4日,Apache软件基金会悄悄向国家漏洞数据库提交了一份漏洞报告National Vulnerability Database,披露了Apache HTTP Server 2.4.66中的一个严重漏洞。该版本目前已附带许多基于Debian的Linux系统,以及Docker Hub上的默认Apache Docker镜像。该漏洞被追踪为CVE-2026-23918,该漏洞位于服务器的HTTP/2模块中,允许攻击者在无凭据且无先前访问的情况下,在底层计算机上崩溃或可能执行任意代码。

修复方法是升级到 Apache HTTP Server 2.4.67。但对于仍在运行易受攻击版本的服务器数量不详的情况,时间正在流逝。

这个缺陷实际上是什么

CVE-2026-23918 是一个双自由漏洞,一类内存损坏漏洞,当软件两次尝试释放同一块内存时,就会发生。当这种情况发生时,服务器的内部数据结构就会损坏。更温和的结果是一场崩溃:Apache worker 进程会消亡,而它所托管的每个网站都处于离线状态。更危险的结果是远程代码执行(RCE),即技术娴熟的攻击者会操纵损坏的内存布局,在服务器上注入并运行自己的指令,从而继承Web服务器进程所享有的任何权限。

这个缺陷特别危险的原因在于其攻击面。HTTP/2 模块在启动任何应用程序层身份验证之前处理传入的请求。这意味着攻击者无需用户名、密码、API密钥,也不需要在目标系统上留下任何立足点。一个从互联网上任何地方发送的单次HTTP/2请求就足以触发该漏洞。无需持续大量涌入或建立复杂的多步骤入侵链。

谁暴露了

Apache HTTP Server 近三十年来一直是全球部署最广泛的网络服务器之一。根据Netcraft和W3Techs的长期调查NetcraftW3Techs,Apache 始终为全球活跃网站提供重要份额,尽管近年来其主导地位已逐渐与 Nginx 及其他竞争对手共享。

security bulletin from UC Berkeley加州大学伯克利分校的安全公告将直接风险缩小至两个主要部署类别:由Debian衍生而成的Linux系统,构成多种云和企业环境的支柱;以及默认的httpd Docker镜像,这些镜像是Docker Hub上最常被调用的容器镜像之一。两者都将 Apache 2.4.66 作为当前稳定版本发布,这意味着在2026年5月之前遵循标准更新流程的组织可能无意中部署了该漏洞版本。

受影响的服务器数量不公开。NIST 和 Apache 软件基金会均未发布关于已运行 2.4.66 版本并启用 HTTP/2 的设备数量的遥测信息。但鉴于 Apache 的安装基础以及基于 Debian 的云基础设施部署无处不在,易受攻击的服务器数量可能非常庞大。

为何RCE比典型的崩溃漏洞更严重

拒绝服务漏洞虽然严重,但是可以恢复的。服务器崩溃可以重新启动,流量可以重新路由。远程代码执行完全是威胁的另一种类型。实现RCE攻击的攻击者在服务器内站稳脚跟,可用于窃取数据、横向移动、安装持久后门,或转向其他信任被入侵主机的系统。

由于触发器是单个HTTP/2请求,因此该漏洞本身就依赖于自动化。攻击者可以将工作漏洞与扫描扫描的扫描器配对,从而大规模识别和破坏易受攻击的服务器。失联主机可在地下市场出售,或注册使用僵尸网络,或用作进一步攻击的集结点。未实现的访问、低复杂性和高冲击力的结合,使得CVE-2026-23918处于漏洞谱的严重末端。

哪些防守者仍然不知道

截至2026年5月下旬,公共记录中仍存在若干重要空白。

没有任何概念验证漏洞利用代码公开出现。NVD条目和伯克利公告均描述了双自由状态的理论影响,但均未提及野外活动开发的示范或证据。这可能意味着攻击者尚未将这一漏洞武器化,也可能意味着正在隐瞒剥削细节,以便让防御者有更多时间进行修补。

Apache软件基金会在提交CVE文件后,尚未发布详细的公开公告。在没有这种第一方背景的情况下,安全团队正根据NVD的简短描述以及伯克利的公告等机构解释来开展工作。关键技术细节,例如哪些特定的代码路径触发了双重自由,以及在HTTP/2帧条件下的标识,尚未披露。这一差距使得防御者更难制定有针对性的缓解措施,例如在保持协议正常运行的同时,选择性地禁用风险较高的HTTP/2功能。

主流Linux发行版的下游补丁时间线也不明确。伯克利公告将Debian衍生系统标记为受影响,但官方的Debian安全提示或补丁时间表并未出现在公共资源中。Ubuntu 继承了 Debian 的多个软件包,但也面临着同样的模糊性。红帽企业 Linux 和 SUSE 等企业发行版均保留自身的补丁处理节奏,其在 CVE-2026-23918 上的标识尚未公开。依赖厂商打包的 Apache 而非上游二进制文件的组织,在基金会发布 2.4.67 到提供特定发行版更新之间可能面临滞后。

目前尚不清楚常见的反向平衡或减载配置是否能降低风险。许多生产环境将 Apache 置于 TLS 终止器、内容传输网络或 Web 应用程序防火墙的背后。其中一些层可能会在HTTP/2流量到达漏洞模块之前将其恢复正常或阻塞,但如果没有对漏洞利用条件的详细说明,管理员就无法安全地假定任何中介机构能够抵消威胁。