Apache HTTP Server 出现严重安全漏洞 开启 HTTP / 2 的服务器可能被远程代码执行

知名开源服务器软件 Apache HTTP Server 存在严重安全漏洞，攻击者可构造请求破坏服务器内存，以 Web 服务进程权限执行代码。Apache 已发布 2.4.71 版本修复该漏洞，建议相关网站立即升级，暂无法升级可临时关闭 HTTP/2 配置。受影响版本包括 Apache HTTP Server 2.4.55 到 2.4.70 版，以及单独从 GitHub 使用的 mod_h2 2.0.8 到 2.0.42 版，启用 HTTP/2 的服务器均面临该漏洞风险，管理员需检查全局及各虚拟主机配置，部署 CDN 或反向代理的场景也需核查源站是否可直接通过 HTTP/2 访问。该漏洞源于 mod_http2 的 assign_headers () 函数处理共享资源时存在同步缺陷，可引发堆内存破坏，无需身份验证的访问者即可触发利用，威胁服务器业务安全，该漏洞由相关 AI 漏洞扫描项目与研究团队先后发现并上报。