RCE 的漏洞又来了，CVSS 9.8 分，狂欢吧。

https://access.redhat.com/security/cve/cve-2026-119618
省流：
漏洞发生在 Apache HTTP Server 的 mod_http2 模块中，与 assign_headers() 函数有关。

核心问题是 多线程访问共享内存时缺少正确的同步保护（CWE-362）。

简单来说：

1. Apache 使用 HTTP/2 同时处理多个请求。
2. 不同线程可能访问同一块内存资源。
3. 一个线程可能修改另一个线程正在使用的内存。
4. 这种竞争条件可能导致堆内存破坏。
5. 攻击者可能利用内存破坏实现远程代码执行。

成功利用后，攻击者可能控制 Apache 服务进程，并访问或修改服务器上的敏感数据。

满足以下条件的服务器，请及时升级到 Apache HTTP Server 2.4.71 或包含修复的发行版软件包：

• Apache HTTP Server 版本为 2.4.55～2.4.70。
• 加载了 mod_http2 模块。
• 启用了 HTTP/2（h2 或 h2c）。