更新時間：2026/11/13 16:36:32
發佈時間：2026/11/13 16:36:32
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1-7]
Apache HTTP Server的mod_http2模組存在遠端程式碼執行漏洞（CVE-2026-119618），因處理並行HTTP/2請求時存在執行緒同步問題，導致伺服器記憶體損毀。未經身分驗證的遠端攻擊者可利用此漏洞執行任意程式碼，取得受影響伺服器程序的控制權，並可能存取或修改機敏資訊，或造成服務中斷。
二、已揭露攻擊活動說明
1. Red Hat指出，公開安全研究已驗證本漏洞可於啟用mod_http2模組的預設設定伺服器上成功利用。
▶ 漏洞資訊
⌵
名稱：
CVE-2026-119618
描述：
使用版本：CVSS 3.1
分析分數：9.8
參考來源：Red Hat
▶ 影響平台
⌵
影響平台-系統：
1. Apache HTTP Server 2.4.55至2.4.70版本受影響，建議更新至2.4.71或以上版本。
2. GitHub上獨立發布的mod_h2 2.0.8至2.0.42版本受影響。
3. Red Hat產品受影響及修補情形如下：
(1) Red Hat Enterprise Linux 10.2 Extended Update Support版本受影響，建議依RHSA-2026:98979進行修補。
(2) Red Hat Enterprise Linux 10.0 Extended Update Support版本受影響，建議依RHSA-2026:98953進行修補。
(3) Red Hat Enterprise Linux 10版本受影響，建議依RHSA-2026:98978進行修補。
(4) Red Hat Enterprise Linux 9.8 Extended Update Support版本受影響，建議依RHSA-2026:98982進行修補。
(5) Red Hat Enterprise Linux 9.6 Extended Update Support版本受影響，建議依RHSA-2026:98954進行修補。
(6) Red Hat Enterprise Linux 9.4 Update Services for SAP Solutions版本受影響，建議依RHSA-2026:98968進行修補。
(7) Red Hat Enterprise Linux 9版本受影響，建議依RHSA-2026:98981進行修補。
(8) Red Hat JBoss Core Services及Red Hat Hardened Images受影響，官方目前尚未提供修補公告，建議持續關注官方安全公告及修補資訊。
(9) Red Hat Enterprise Linux 8及更早版本不受影響。
4. Ubuntu各分支受影響之Apache HTTP Server套件版本如下：
(1) 26.10版本受影響，建議更新至2.4.68-1ubuntu6.2或以上版本。
(2) 26.04 LTS版本受影響，建議更新至2.4.66-2ubuntu2.8或以上版本。
(3) 24.04 LTS版本受影響，建議更新至2.4.58-1ubuntu8.19或以上版本。
(4) 22.04 LTS版本受影響，建議更新至2.4.52-1ubuntu4.27或以上版本。
(5) 20.04 LTS版本受影響，建議透過Ubuntu Pro更新至2.4.41-4ubuntu3.23+esm11或以上版本。
5. Debian各分支受影響之Apache HTTP Server套件版本如下：
(1) Bookworm（Debian 12）版本受影響，建議更新至2.4.71-1~deb12u1或以上版本。
(2) Trixie（Debian 13）版本受影響，建議更新至2.4.71-1~deb13u1或以上版本。
(3) Forky（Testing）版本受影響，官方目前尚未列出修補版本，建議持續關注官方安全公告及修補資訊。
(4) Sid（Unstable）版本受影響，建議更新至2.4.71-1或以上版本。
註：
(1) 本漏洞影響已啟用HTTP/2（h2或h2c）的Apache HTTP Server環境，僅使用HTTP/1.1的伺服器不受影響。
(2) 上述影響平台及修補版本並非完整清單，建議依據實際使用之作業系統及套件版本，參考官方安全公告確認受影響情形及修補資訊。
▶ 建議措施
⌵
1.官方已發布修補程式，建議會員依據單位內漏洞管理機制進行相關作業。
2.針對使用Red Hat產品的單位，尚未完成修補前，建議依官方指引，於Apache HTTP Server設定檔的Protocols指令中移除h2及h2c，僅保留http/1.1，並重新啟動Apache HTTP Server服務，以暫時停用HTTP/2功能。
▶ 參考資訊
⌵
| 編號 | 網址 | 說明 |
|---|---|---|
| 1 | https://httpd.apache.org/security/vulnerabilities_24.html | Apache HTTP Server（安全公告） |
| 2 | https://access.redhat.com/security/cve/cve-2026-119618 | Red Hat（漏洞資訊） |
| 3 | https://access.redhat.com/security/vulnerabilities/RHSB-2026-017 | Red Hat（安全公告及緩解措施） |
| 4 | https://ubuntu.com/security/CVE-2026-119618 | Ubuntu（漏洞資訊） |
| 5 | https://ubuntu.com/security/notices/USN-9090-1 | Ubuntu（安全公告及修補資訊） |
| 6 | https://security-tracker.debian.org/tracker/CVE-2026-119618 | Debian（漏洞資訊及修補資訊） |
| 7 | https://nvd.nist.gov/vuln/detail/CVE-2026-119618 | NVD（漏洞資訊） |
情資編號：
FISAC-200-202611-0010
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞