遠端主機上安裝的 httpd 版本為早於 2.4.69-1 的版本。因此，它會受到 ALAS2-2026-3990 公告中所提及的多個弱點影響。

    在 Apache HTTP 伺服器中部署錯誤處理常式弱點，允許某些來自 CGI 程式的內部重新導向的目標也被視為 CGI 並執行。該目標必須已位於已啟用 CGI 的目錄中，且沒有 mod_mime 能辨識的其他延伸模組。



    此問題會影響 Apache HTTP Server 2.4.60 至 2.4.68（含）版。(CVE-2026-42356)

    Apache httpd 2.4.67 和更早版本中 mod_dav 中的記憶體計算錯誤允許有權建立 WebDAV 鎖定的攻擊者使伺服器子處理程序損毀。

    建議使用者升級至已修正此問題的 2.4.69 版 (CVE-2026-42528)

    Apache HTTP 伺服器mod_heartmonitor透過單播接聽程式存在 NULL 指標解除參照弱點。



    此問題會影響 Apache HTTP Server 2.4.0 至 2.4.68（含）版。(CVE-2026-46729)

    敏感資訊暴露於未授權執行者 Apache HTTP 伺服器mod_session_cookie模組中的弱點。



    當 SessionCookieRemove 在內部重新導向過程中發生變更時，工作階段 Cookie 可能仍會被傳遞至後端伺服器。





    此問題會影響 Apache HTTP Server 2.4.0 至 2.4.68（含）版。(CVE-2026-47360)

    在所有平台上，如果之前 2.4.69 在 mod_auth_digest Apache Software Foundation Apache HTTP Server 中缺少驗證檢查，則允許未經驗證的遠端用戶端在使用 AuthDigestNcCheck 啟用摘要驗證時，透過偽造的授權標頭造成拒絕服務 （強制重新驗證）。

    建議使用者升級至 2.4.69 版，即可修正此問題。(CVE-2026-48005)

    Apache HTTP Server mod_charset_lite中存在越界寫入弱點。



    此問題會影響 Apache HTTP Server 2.4.0 至 2.4.68（含）版。(CVE-2026-56153)

    使用前瞻 （%{LA-U:HTTP:...}） 時，Apache HTTP Server 的mod_rewrite中存在釋放後弱點



    此問題會影響 Apache HTTP Server 2.4.0 至 2.4.68（含）版。(CVE-2026-56154)

    Apache HTTP Server 的mod_proxy_html中存在越界寫入弱點，其中包含特製的HTTP回應內文。



    此問題會影響 Apache HTTP Server 2.4.0 至 2.4.68（含）版。(CVE-2026-56449)

    透過共用 session->bbtmp 重新進入Apache HTTP Server mod_http2中的釋放後弱點使用



    此問題會影響 Apache HTTP Server 2.4.0 至 2.4.68（含）版。(CVE-2026-57941)

    在所有平台上，外部各方以前在 Apache mod_dav_fs Software Foundation Apache HTTP Server 2.4.69 中可存取內部狀態檔案，可讓遠端用戶端讀取其無法透過 GET 要求撰寫的資源的 WebDAV 無效屬性。DAV 狀態目錄



    此問題會影響 Apache HTTP Server 2.4.0 至 2.4.68（含）版。(CVE-2026-58415)

    Apache HTTP Server 透過 SSLRequire 和檔案相關運算式mod_ssl存在不當權限管理弱點。



    此問題會影響 Apache HTTP Server 2.4.0 至 2.4.68（含）版。(CVE-2026-59797)

    在所有平台上Apache Software Foundation Apache HTTP Server 2.4.68 中mod_proxy_ftp FTP PASV 回覆位址的不正確驗證，允許在轉送 Proxy 組態中，不受信任的 FTP 伺服器導致 Proxy 透過特製的 PASV 回應開啟與任意第三方主機的資料連線。

    建議使用者升級至 2.4.69 版，即可修正此問題。(CVE-2026-63045)

    在所有平臺上Apache Software Foundation Apache HTTP Server 2.4.68 中mod_vhost_alias中的堆疊型緩衝區溢位，可讓遠端用戶端在 VirtualDocumentRoot 使用主機名稱格式指定元且 LimitRequestFieldSize 高於預設值時，透過主機標頭超過 8192 位元組的 HTTP 要求造成拒絕服務，或可能執行任意程式碼。

    建議使用者升級至 2.4.69 版，即可修正此問題。(CVE-2026-63292)

    之前 2.4.69 在所有平台上的 Apache Software Foundation Apache HTTP Server 中mod_xml2enc中的 NULL 指標解除參照，可讓不受信任的後端伺服器透過具有字集的代理回應造成拒絕服務，其轉換部分成功然後失敗。

    建議使用者升級至 2.4.69 版，即可修正此問題。(CVE-2026-63686)

    HTTP 要求的不一致解譯 （「HTTP 要求/回應走私」） 回應透過mod_proxy_uwsgi和具有傳輸編碼的特製 uwsgi 回應，在 HTTP Server 中Apache走私弱點。



    此問題會影響 Apache HTTP Server 2.4.30 至 2.4.68（含）版。(CVE-2026-63718)

    在所有平台上的 Apache Software Foundation Apache HTTP Server 2.4.x 中，透過 mod_auth_digest 中的擷取重播繞過驗證，可讓中間人 （MITM） 攻擊者透過特製的要求重播擷取的摘要驗證認證，當 AuthDigestNonceLifetime 設定為 0 時，這些要求會觸發用戶端共用記憶體項目的記憶體回收。

    建議使用者升級至 2.4.69 版，即可修正此問題。(CVE-2026-73636)

    在所有平台上之前在 Apache Software Foundation Apache HTTP Server 2.4.69 中的mod_auth_digest中使用，允許未經驗證的遠端用戶端在啟用 AuthDigestNcCheck 或將 AuthDigestNonceLifetime 設定為 0 時，透過並行摘要驗證要求造成驗證狀態損毀。

    建議使用者升級至 2.4.69 版，即可修正此問題。(CVE-2026-73637)

    路徑對等性：使用絕對非萬用字元 UserDir 指令 （中的 https://httpd.apache.org/docs/2.4/mod/mod_userdir.html#userdir第 2 種形式） 設定時，Apache HTTP Server 的 mod_userdir 模組中存在「/./」（單點目錄）弱點



    此問題會影響 Apache HTTP Server 2.4.0 至 2.4.68（含）版。(CVE-2026-79768)

    Apache HTTP Server 2.4.68 中mod_dav_fs中的整數溢位允許具有寫入存取權的已驗證 WebDAV 用戶端對損毀工作進程，並透過宣告許多 XML 命名空間的 PROPPATCH 要求持續損毀目錄的屬性資料庫。（CVE-2026-93546）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2：httpd (ALAS-2026-3990)

critical Nessus Plugin ID 365282

版本 1.3