遠端主機上安裝的 Apache httpd 版本早於 2.4.67。因此，它會受到 2.4.67 公告中所提及的多個弱點影響。

  - Apache HTTP 的 Server mod_proxy_ajp 中存在堆積型緩衝區溢位弱點。如果 mod_proxy_ajp 連線至惡意 AJP 伺服器，此 AJP 伺服器可以向 mod_proxy_ajp 回傳惡意 AJP 訊息，並使其在堆積型緩衝區末尾後寫入 4 個攻擊者控制的位元組。此問題會影響 Apache HTTP Server 2.4.66 及其之前所有版本。建議使用者升級至 2.4.67 版，即可修正此問題。
    (CVE-2026-28780)

  - 採用 HTTP/2 通訊協定的 Apache HTTP Server 中存在雙重釋放和可能的 RCE 弱點。此問題會影響 Apache HTTP Server：2.4.66。建議使用者升級至 2.4.67 版，即可修正此問題。(CVE-2026-23918)

  - Apache HTTP 2.4.66 和更舊版本中的多個模組存在特權升級錯誤，允許本機 .htaccess 作者以 httpd 使用者的權限讀取檔案。建議使用者升級至 2.4.67 版，即可修正此問題。(CVE-2026-24072)

  - Apache HTTP Server 的 mod_md 中存在可透過 OCSP 回應資料觸發的無限制或節流資源配置弱點。此問題會影響 Apache HTTP Server 2.4.30 至 2.4.66 (含) 版。建議使用者升級至 2.4.67 版，即可修正此問題。(CVE-2026-29168)

  - 在 Apache HTTP Server 2.4.66 和更舊版本中，mod_dav_lock 存在 NULL 指標解除參照，可能允許攻擊者透過惡意請求使伺服器當機。mod_dav 或 mod_dav_fs 內部未使用 mod_dav_lock。
    mod_dav_lock 唯一已知的使用案例是 Apache Subversion 1.2.0 之前版本所使用的 mod_dav_svn。建議使用者升級至 2.4.66 版，即可修正此問題，或移除 mod_dav_lock。
    (CVE-2026-29169)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 httpd 版本為早於 2.4.67 的版本。因此，它受到 SSA:2026-124-01 公告中提及的多個弱點影響。

    現已提供適用於 Slackware 15.0 和最新版本的新 httpd 套件，可修正多個安全性問題。

Tenable 已直接從 httpd 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 22.04 LTS/24.04 LTS/25.10/26.04 LTS 主機上安裝的多個套件受到 USN-8239-1 公告中提及的多個弱點影響。

    Bartlomiej Dmitruk 和 Stanislaw Strzalkowski 發現 Apache HTTP 伺服器在使用 HTTP/2 通訊協定時會錯誤地處理某些記憶體作業。遠端攻擊者可利用此問題造成 Apache HTTP Server 當機，進而導致拒絕服務或可能執行任意程式碼。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-23918)

    據發現，Apache HTTP 伺服器 mod_rewrite 模組未正確處理某些特權。本機攻擊者可能利用此問題來取得敏感資訊。(CVE-2026-24072)

    Andrew Lacambra、Elhanan Haenel、Tianshuo Han 和 Tristan Madani 發現 Apache HTTP Server mod_proxy_ajp 模組錯誤地處理了某些 AJP 伺服器訊息。控制後端 AJP 伺服器的攻擊者可利用此問題造成 Apache HTTP Server 當機，進而導致拒絕服務或可能執行任意程式碼。(CVE-2026-28780)

    Pavel Kohout 發現 Apache HTTP Server 在處理 OCSP 回應資料時，未正確限制 mod_md 中的資源配置。遠端攻擊者可能利用此問題造成拒絕服務。(CVE-2026-29168)

    Pavel Kohout 發現 Apache HTTP Server 在 mod_dav_lock 中未正確處理某些記憶體作業。遠端攻擊者可能會利用此問題造成 Apache HTTP Server 當機，進而導致拒絕服務。(CVE-2026-29169)

    Nitescu Lucian 發現 Apache HTTP Server 在 mod_auth_digest 中存在計時攻擊弱點。遠端攻擊者可能會利用此問題繞過摘要式驗證。(CVE-2026-33006)

    Pavel Kohout 和 Arkadi Vainbrand 發現 Apache HTTP Server 在 mod_authn_socache 中未正確處理某些記憶體作業。遠端攻擊者可能會利用此問題造成 Apache HTTP Server 當機，進而導致拒絕服務。(CVE-2026-33007)

    Haruki Oyama、Merih Mengisteab 和 Dawit Jeong 發現，Apache HTTP Server 在與不受信任或遭入侵的後端伺服器搭配使用時，其多個模組中存在 HTTP 回應分割弱點。攻擊者可能會利用此問題插入任意 HTTP 標頭。(CVE-2026-33523)

    Elhanan Haenel 發現 Apache HTTP Server 在 mod_proxy_ajp 中未正確處理某些記憶體作業。遠端攻擊者可能會利用此問題造成 Apache HTTP Server 當機，進而導致拒絕服務。(CVE-2026-33857)

    Tianshuo Han 和 Jrme Djouder 發現 Apache HTTP Server 在 mod_proxy_ajp 中未正確處理某些字串作業。遠端攻擊者可能利用此問題取得敏感資訊。(CVE-2026-34032)

    Elhanan Haenel 發現 Apache HTTP Server 在 mod_proxy_ajp 中未正確處理某些記憶體作業。遠端攻擊者可能會利用此問題造成 Apache HTTP Server 當機，進而導致拒絕服務或可能取得敏感資訊。(CVE-2026-34059)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6248 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-6248-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：apache2 CVE ID：CVE-2026-23918 CVE-2026-24072 CVE-2026-28780 CVE-2026-29168 CVE-2026-29169 CVE-2026-33006 CVE-2026-33007 CVE-2026-33523 CVE-2026-33857 CVE-2026-34032 CVE-2026-34059 Debian 錯誤：1135737

    在 Apache HTTP 伺服器中發現了多個弱點，這些弱點可能導致遠端程式碼執行、特權提升、拒絕服務或資訊外洩。

    針對舊穩定的發行版本 (bookworm)，已在 2.4.67-1~deb12u2 版本中修復這些問題。

    針對穩定的發行版本 (trixie)，已在 2.4.67-1~deb13u2 版本中修復這些問題。 CVE-2026-23918 的修正已包含在 Debian 13.4 重點版本 2.4.66-1~deb13u2 的更新版本中，以解決報告的 HTTP/2 回歸問題。

    我們建議您升級 apache2 套件。

    如需有關 apache2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/apache2

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
311940	Apache 2.4.x < 2.4.67 多個弱點	Nessus	Web Servers	2026/5/4	2026/5/8	critical
312108	Slackware Linux 15.0/最新版 httpd 多個弱點 (SSA:2026-124-01)	Nessus	Slackware Local Security Checks	2026/5/4	2026/5/7	critical
313207	Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS：Apache HTTP Server 弱點 (USN-8239-1)	Nessus	Ubuntu Local Security Checks	2026/5/8	2026/5/8	critical
312666	Debian dsa-6248：apache2 - 安全性更新	Nessus	Debian Local Security Checks	2026/5/6	2026/5/6	critical

偵測

搜尋 Plugin

critical

critical

critical

critical