Apache HTTP Server 爆出嚴重安全漏洞：CVSS 9.8，攻擊者可遠端執行惡意程式碼，企業應立即檢查及修補

11 minutes ago

4 min read

2026 年 11 月 11 日，Apache 發佈安全更新，修補一項影響 Apache HTTP Server 的嚴重安全漏洞 CVE-2026-119618，其 CVSS v3.1 評分高達 9.8（Critical）。

此漏洞存在於 Apache HTTP Server 的 mod_http2 模組，攻擊者可能透過網絡，在毋須身份驗證的情況下執行任意程式碼（Remote Code Execution，RCE），從而控制受影響的伺服器、存取敏感資料，甚至導致業務服務中斷。

Apache HTTP Server 廣泛應用於企業網站、應用程式及後端服務，因此企業應盡快確認現有系統是否受到影響，並按照官方指引採取修補措施。

甚麼是 CVE-2026-119618？漏洞有多嚴重？

CVE-2026-119618 是 Apache HTTP Server mod_http2 模組中的一項記憶體處理漏洞。

HTTP/2 技術允許伺服器透過單一連線同時處理多個請求，以提升網頁及應用程式的傳輸效率。然而，由於該模組在處理並行請求時存在執行緒安全缺陷（Thread-Safety Flaw），不同執行緒可能錯誤存取或修改共享記憶體資源，導致記憶體損壞。

攻擊者可能利用此漏洞，在毋須登入的情況下，透過網絡執行惡意程式碼，帶來以下安全風險：

伺服器遭入侵： 攻擊者可能執行未經授權的指令，控制受影響的伺服器程序。
敏感資料外洩： 企業的業務資料及其他機密資訊可能遭到未經授權的存取或修改。
業務服務中斷： 受影響的伺服器可能出現異常或停止運作，影響網站及應用程式的正常服務。

值得注意的是，Red Hat 指出，安全研究人員已成功展示可利用此漏洞的攻擊方法。因此，即使系統目前運作正常，企業亦不應忽視潛在的安全威脅。

哪些 Apache HTTP Server 版本受到影響？

根據 Apache 官方安全公告，以下版本可能受到 CVE-2026-119618 影響：

項目	受影響版本	已修補版本／建議措施
Apache HTTP Server	2.4.55 至 2.4.70	2.4.71 或更新版本
獨立 mod_h2 模組	2.0.8 至 2.0.42	建議遷移至已修補及受支援的 Apache HTTP Server

重要提醒：只有啟用 HTTP/2 的伺服器才會受到此漏洞影響。 如果系統僅使用 HTTP/1.1，則不受此項漏洞影響。

此外，使用 Red Hat Enterprise Linux（RHEL）的企業應留意，不同版本的安全風險可能有所差異：

RHEL 9 及 10： 由於 mod_http2 的記憶體配置方式不同，漏洞利用難度較高，因此 Red Hat 將相關風險評定為 Important，而非 Critical。企業應按照 Red Hat 官方安全公告安裝適用的修補程式。
RHEL 8 及更早版本： 根據 Red Hat 官方評估，這些版本不包含相關受影響程式碼。

部分 Linux 發行商亦可能透過 Backport（修補程式回溯移植）方式修復漏洞，因此企業不應單憑 Apache 版本號判斷系統是否安全，而應核對實際安裝的套件、系統配置及供應商的安全公告。

企業應立即採取的 5 項安全措施

面對 CVE-2026-119618 漏洞，Amidas 建議企業 IT 及網絡安全團隊盡快採取以下措施：

全面盤點 Apache 伺服器及相關資產
優先評估對外開放的伺服器
盡快安裝官方安全更新
更新後進行漏洞驗證
加強漏洞監察及異常活動排查

利用 Qualys 漏洞管理方案，及早發現及應對安全風險

CVE-2026-119618 再次突顯企業建立持續性漏洞管理機制的重要性，而不應只在重大安全漏洞出現後才進行緊急檢查。

Qualys Vulnerability Detection Pipeline 為企業提供新漏洞偵測功能的開發及發佈資訊，協助 IT 團隊掌握包括 CVE-2026-119618 在內的重大漏洞偵測進展，及早規劃相關風險評估及應對措施。

透過 Qualys Vulnerability Management, Detection & Response（VMDR），企業可以建立更全面的漏洞管理流程：

Discover｜全面識別 IT 資產： 掌握企業網絡中的伺服器及其他 IT 資產，提高資產可視性，減少安全盲點。
Detect｜持續偵測安全漏洞： 配合 Qualys 持續更新的漏洞偵測資料，在相關偵測功能發佈後，識別企業環境中可能受影響的系統。
Prioritize｜按風險排列修補優先次序： 結合漏洞嚴重程度、威脅情報及資產重要性，協助 IT 團隊優先處理高風險漏洞。
Remediate & Verify｜追蹤修補及驗證結果： 協助企業管理漏洞修補進度，並透過重新掃描確認相關風險是否已解決。

企業可透過 Qualys Vulnerability Detection Pipeline 查閱最新的漏洞偵測開發及發佈狀態。

根據 Qualys 官方基準測試及行業分析數據，Qualys VMDR 透過整合資產盤點、風險評估（TruRisk™）、ITSM 工單自動化以及內置補丁管理（Patch Management），以顯著縮短處理時間和減輕人手負擔。

Amidas Managed Vulnerability Management：從漏洞偵測到修補，全面降低企業安全風險

面對不斷出現的網絡安全漏洞，企業不僅需要先進的漏洞管理技術，更需要持續的風險分析及修補跟進，才能有效降低網絡攻擊風險。

Amidas Managed Vulnerability Management Service 結合 Qualys VMDR 技術與專業安全營運團隊，為企業提供持續性的漏洞管理服務，涵蓋漏洞識別、業務風險評估、修補優先次序制定，以及修補進度追蹤與驗證，協助企業建立完整的漏洞管理流程，確保安全問題得到妥善跟進及解決。

透過 Amidas 專業團隊，企業可獲得：