Apache HTTP/2漏洞CVE-2026-23918可致DoS与RCE风险

Apache软件基金会近期发布了针对其HTTP服务器的安全更新，修复了多个安全漏洞。其中，一个高危漏洞可能导致远程代码执行，需要重点关注。

高危漏洞CVE-2026-23918详情

该漏洞编号为CVE-2026-23918，CVSS评分为8.8分。它存在于HTTP/2协议的处理过程中，属于“双重释放”类型漏洞，可能引发远程代码执行。此漏洞影响Apache HTTP Server 2.4.66版本，已在2.4.67版本中完成修复。

漏洞发现与报告方

此漏洞由Striga.ai联合创始人巴特洛米耶·德米特鲁克以及ISEC研究员斯坦尼斯瓦夫·斯特扎尔科夫斯基发现并报告。

漏洞危害与技术原理

据德米特鲁克介绍，CVE-2026-23918漏洞既可用于发起拒绝服务攻击，也可能被利用实现远程代码执行。

该漏洞本质上是Apache HTTP Server 2.4.66中mod_http2模块的一个双重释放漏洞，具体位于h2_mplx.c文件的流清理路径。触发条件是：客户端在服务器注册流之前，快速连续地向同一流发送一个HTTP/2 HEADERS帧和一个带有非零错误代码的RST_STREAM帧。

随后，nghttp2库的两个回调函数会顺序启动，最终导致同一h2_stream指针被重复推入清理数组。当后续循环迭代该数组并尝试销毁相关内存时，便会触发对已释放内存区域的二次访问。

攻击方式与利用条件

德米特鲁克指出，实现DoS攻击相对简单，适用于任何使用了mod_http2和多线程MPM的默认部署。而实现RCE则需要Apache便携式运行时使用mmap分配器，这在Debian衍生系统和最新的httpd Docker镜像中是默认配置。

“拒绝服务攻击非常简单：一个TCP连接、两个帧、无需身份验证或特殊头部，就能导致工作进程崩溃。”德米特鲁克说明，“攻击者可通过持续发送攻击流量，使服务器陷入崩溃-重启循环，从而耗尽资源。”

“远程代码执行则更为复杂。我们已在x86_64架构上构建了可行的概念验证。”他进一步解释，“利用链通过mmap将伪造的h2_stream结构体重用于已释放的虚拟地址，将其清理函数指针指向system()，并使用Apache的记分板内存作为稳定容器存放伪造结构和命令字符串。”

关键在于，记分板在服务器生命周期内位于固定地址，即使系统启用了地址空间布局随机化也是如此，这提升了RCE利用的实用性。实际利用通常需要知道system()函数和记分板的内存偏移地址，且堆喷技术具有一定概率性。但在可控实验环境下，整个利用过程仅需几分钟即可完成。

影响范围与修复建议

德米特鲁克补充说明，该漏洞不会影响使用MPM prefork模块的部署。然而，由于mod_http2模块在默认构建中存在，且HTTP/2协议已在生产环境中广泛采用，该漏洞的潜在攻击面较大。鉴于其高危性质，强烈建议所有受影响用户尽快升级至已修复的版本，以确保服务器安全。