展开菜单
首页 精品内容 本月促销 装机必备 Windows PDF教程 macOS软件 IOS软件 Android AI 专题
全部分类

当前位置:

首页 > 硬件相关 > 关键的 Apache HTTP 服务器漏洞导致数百万台服务器暴露于 RCE 攻击中

关键的 Apache HTTP 服务器漏洞导致数百万台服务器暴露于 RCE 攻击中

ApacheHTTP服务器发布关键安全更新2.4.67版本,修复了五个安全漏洞。其中最严重的是CVE-2026-23918,一个高危远程代码执行漏洞,影响2.4.66版本,源于HTTP/2协议实现中的内存损坏问题。另一中等严重漏洞CVE-2026-24072允许本地用户读取任意文件。建议管理员立即升级至最新版本,或采取临时禁用HTTP/2等缓解措施。

本文目录

    Apache软件基金会刚刚发布了一项关键安全更新,为全球广泛使用的Apache HTTP服务器打上了重要补丁。这次发布的2.4.67版本,一口气修复了五个安全漏洞,其中包含一个危险级别相当高的远程代码执行漏洞。如果你还在运行2.4.66或更早的版本,那么升级这件事,恐怕得立刻提上日程了。

    这次修复的漏洞中,最需要警惕的是编号为CVE-2026-23918的漏洞。它的CVSS基础评分达到了8.8分,属于高危级别。问题出在Apache的HTTP/2协议实现中,具体来说,是在处理“早期流重置”序列时,触发了一个双重释放内存损坏漏洞。

    简单解释一下,所谓“双重释放”,就是程序试图两次释放同一块内存区域。这会导致堆内存结构被破坏,攻击者有可能借此操控程序的执行流程,最终实现远程代码执行。值得注意的是,这个漏洞仅影响2.4.66这一个版本。它最初由striga.ai的Bartlomiej Dmitruk和isec.pl的Stanislaw Strzalkowski在2025年12月10日报告,Apache安全团队在次日(12月11日)的修订中便完成了修复,最终随着2026年5月4日的2.4.67版本一同发布。

    另一个值得关注的漏洞是CVE-2026-24072,被评定为中等严重性。它涉及`mod_rewrite`模块在使用`ap_expr`表达式评估时的问题。这个漏洞允许本地用户通过`.htaccess`文件,以httpd进程的权限读取服务器上的任意文件,实质上是一种权限提升。它影响2.4.66及更早版本,由研究人员y7syeu于2026年1月20日报告。

    其他被修复的漏洞

    除了上述两个,2.4.67更新还一并解决了三个严重性相对较低的问题:

    • CVE-2026-28780:一个位于`mod_proxy_ajp`模块`ajp_msg_check_header()`函数中的堆缓冲区溢出漏洞。如果`mod_proxy_ajp`连接到一个恶意的AJP服务器,该服务器可以发送特制的AJP消息,导致模块在堆缓冲区末尾写入4个攻击者控制的字节。该漏洞由四位研究人员在2026年2月至3月期间独立报告。
    • CVE-2026-29168:`mod_md`模块中OCSP响应处理程序的一个资源耗尽漏洞。由于缺乏上限,攻击者可以通过发送超大的OCSP响应数据来耗尽服务器资源。该漏洞影响2.4.30至2.4.66版本,由艾斯尔研究公司的帕维尔·科胡特于2026年3月2日报告。
    • CVE-2026-29169:`mod_da v_lock`模块中的一个空指针解引用漏洞,攻击者可通过恶意制作的请求导致服务器崩溃。需要特别说明的是,`mod_da v_lock`模块并非`mod_da v`或`mod_da v_fs`的内部模块——它目前已知的唯一用途是服务于1.2.0版本之前的Apache Subversion (`mod_da v_svn`)。因此,如果无法立即升级,管理员可以通过直接移除`mod_da v_lock`模块来临时缓解此漏洞。

    立即采取的缓解措施

    考虑到Apache HTTP服务器在全球基础设施中的巨大部署量,CVE-2026-23918带来的远程代码执行风险不容小觑。管理员应立即评估并采取以下行动:

    1. 升级至Apache HTTP Server 2.4.67:这是修复所有五个漏洞最彻底、最推荐的方式。
    2. 临时禁用HTTP/2:如果因故无法立即升级,为降低CVE-2026-23918的暴露风险,可考虑暂时禁用HTTP/2协议。
    3. 移除`mod_da v_lock`模块:如果确认环境中未使用该模块(例如,未运行旧版Subversion),可将其移除作为CVE-2026-29169的临时应对措施。
    4. 审计`.htaccess`文件权限:在存在本地用户访问风险的环境中,应严格审计和限制`.htaccess`文件的权限,以防范CVE-2026-24072漏洞被利用。
    本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系bd@zhengruan.com
    作者最新文章
    硬件相关
    相关文章 更多
    精品专题 更多
    装机必备

    正软商城装机必备专区,精选办公、浏览器、安全防护、影音播放、压缩解压、设计创作和系统工具等电脑常用正版软件,帮助用户快速完成新电脑软件配置。

    Windows

    正软商城Windows软件专区,汇集适用于Windows电脑的办公、设计、安全防护、影音播放、开发工具和系统优化软件,提供软件介绍、系统要求、正版授权及购买下载服务。

    PDF教程

    正软商城PDF教程频道提供PDF编辑、转换、合并、拆分、压缩及格式处理方法,同时介绍常用PDF软件和工具的使用技巧。

    macOS软件

    正软商城macOS软件专区,精选适用于Mac电脑的办公、设计、影音、效率、开发和系统工具,提供软件功能介绍、macOS兼容版本、正版授权及购买下载服务。

    IOS软件

    正软商城iOS软件专区,精选适用于iPhone和iPad的办公、学习、影音、设计、效率及AI应用,提供功能介绍、适用设备、系统要求和正版获取方式等信息。

    AI

    正软商城AI软件专区,汇集AI写作、AI绘画、AI视频、AI办公、AI编程、AI翻译、智能客服和数据分析等人工智能工具,提供功能介绍、适用平台、收费方式及正版购买信息。

    Mac软件 更多
    Aperty macOS版
    Aperty macOS版

    Aperty 是 Skylum 推出的 AI 人像修图软件,支持自然肤质修饰、瑕疵处理、面部与身体调整、预设及批量同步。

    火山引擎 网页版
    火山引擎 网页版

    火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力,依托字节自研豆包多模态大模型,凭借火山方舟一站式平台,提供模型精调、推理部署、智能应用搭建等全链路服务,结合高性能AI算力,助力各行业快速落地大模型数字化与智能化应用。

    立刻MV 网页版
    立刻MV 网页版

    立刻MV 面向音乐人、内容创作者和品牌团队,帮助用户低成本完成歌曲 MV、歌词视频、AI 分镜、图生视频与最终合成。

    蛙蛙写作 网页版
    蛙蛙写作 网页版

    蛙蛙写作 AI 创作工具,覆盖小说、剧本、文案,一键生成文稿,打通文字转视频全流程,高效解决创作难题。

    讯飞智作 网页版
    讯飞智作 网页版

    讯飞智作是一款基于语音合成技术、虚拟人驱动技术与数字人形象声音构建能力的 AI 数字人音视频创作平台。

    超级简历WonderCV 网页版
    超级简历WonderCV 网页版

    超级简历WonderCV是面向应届生和AI小白的智能求职平台,覆盖简历、面试与职业规划。

    音述AI 网页版
    音述AI 网页版

    音述AI,是一个以“用声音述说故事”为核心的 AI 音乐创作与声音分享社区。

    AionClaw macOS版
    AionClaw macOS版

    AionClaw 是可在桌面端运行的任务型 AI 助手,通过数字专家与技能市场组合办公、创作、数据和开发能力。

    Loomy macOS版
    Loomy macOS版

    Loomy 是科大讯飞推出的桌面 AI 助手,可通过对话、任务与工作目录协助处理办公、内容创作和资料整理。

    AirBuddy 3 macOS版
    AirBuddy 3 macOS版

    AirBuddy 3 是面向 macOS 的蓝牙外设增强工具,可集中查看 AirPods、Beats 与苹果设备电量,提供快速连接、播放控制、电量提醒、桌面小组件和多台 Mac 外设接力等功能。

    AirServer macOS版
    AirServer macOS版

    AirServer macOS版可把 Mac 转换为无线投屏接收端,通过 AirPlay 或 Google Cast 接收手机、平板和电脑画面,并支持多设备同时连接、高清镜像及会话录制,适合家庭娱乐、课堂教学、会议演示和应用展示。

    AnyDesk macOS版
    AnyDesk macOS版

    AnyDesk macOS版是一款适用于远程办公、设备维护和客户支持的远程桌面工具,可连接并操作异地计算机,支持文件传输、无人值守访问、会话权限控制及跨平台协作。

    WINDOWS 更多
    讯飞绘文 网页版
    讯飞绘文 网页版

    讯飞绘文网页版是科大讯飞推出的AI图文创作与内容运营工具,覆盖热点选题、文章生成、稿件校对、智能配图、排版发布和数据复盘等环节,适合自媒体创作者及内容团队在线使用。

    Maya(Autodesk Maya) Windows版
    Maya(Autodesk Maya) Windows版

    Autodesk Maya 是面向影视、电视、动画和游戏行业的专业三维制作软件,集多边形与 NURBS 建模、角色绑定、关键帧和动作捕捉动画、Bifrost 特效模拟、材质开发及 Arnold 渲染于一体,

    Aperty Windows版
    Aperty Windows版

    Aperty 是 Skylum 推出的 AI 人像修图软件,支持自然肤质修饰、瑕疵处理、面部与身体调整、预设及批量同步。

    火山引擎 网页版
    火山引擎 网页版

    火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力,依托字节自研豆包多模态大模型,凭借火山方舟一站式平台,提供模型精调、推理部署、智能应用搭建等全链路服务,结合高性能AI算力,助力各行业快速落地大模型数字化与智能化应用。

    立刻MV 网页版
    立刻MV 网页版

    立刻MV 面向音乐人、内容创作者和品牌团队,帮助用户低成本完成歌曲 MV、歌词视频、AI 分镜、图生视频与最终合成。

    蛙蛙写作 网页版
    蛙蛙写作 网页版

    蛙蛙写作 AI 创作工具,覆盖小说、剧本、文案,一键生成文稿,打通文字转视频全流程,高效解决创作难题。

    讯飞智作 网页版
    讯飞智作 网页版

    讯飞智作是一款基于语音合成技术、虚拟人驱动技术与数字人形象声音构建能力的 AI 数字人音视频创作平台。

    超级简历WonderCV 网页版
    超级简历WonderCV 网页版

    超级简历WonderCV是面向应届生和AI小白的智能求职平台,覆盖简历、面试与职业规划。

    音述AI 网页版
    音述AI 网页版

    音述AI,是一个以“用声音述说故事”为核心的 AI 音乐创作与声音分享社区。

    AionClaw Windows版
    AionClaw Windows版

    AionClaw 是可在桌面端运行的任务型 AI 助手,通过数字专家与技能市场组合办公、创作、数据和开发能力。

    Loomy Windows版
    Loomy Windows版

    Loomy 是科大讯飞推出的桌面 AI 助手,可通过对话、任务与工作目录协助处理办公、内容创作和资料整理。

    AirServer Windows版
    AirServer Windows版

    AirServer Windows版可把电脑变成AirPlay、Google Cast和Miracast无线投屏接收端,适合会议演示、课堂教学及家庭大屏分享。发送设备通常无需另装客户端,并可同时接收和智能排列多个镜像会话。