如果你的网站跑在 Apache 上，而且开了 HTTP/2，这条消息值得马上看一眼。据公开报道，Apache 软件基金会在 11 月 11 日发布 Apache HTTP Server 2.4.71，修补 3 个安全漏洞，其中受关注的是 mod_http2 模块里的 CVE-2026-119618。报道提到，受影响版本为 2.4.55 到 2.4.70；Red Hat 也说明，只有启用 HTTP/2 的服务器会踩到这个点。
HTTP/2 没开，是不是就能先不管？
如果你确认 Apache 没有启用 HTTP/2，CVE-2026-119618 的触发面就不存在；但 2.4.71 还修补了其他漏洞，仍建议把升级排进维护窗口。公开描述是：mod_http2 在多线程处理 HTTP/2 请求时出现竞争条件，可能触发并发同步缺陷并造成堆内存损坏。远程攻击者不需要登录，就可能以 Apache 工作进程的权限执行代码、读取该进程可访问的数据。
自查不复杂，先查版本，再查模块。
- 查版本：httpd -v 或 apache2 -v
- 查模块：httpd -M | grep http2_module 或 apache2ctl -M | grep http2_module
- 查配置：grep -R Protocols /etc/httpd /etc/apache2
如果配置里看到 h2、h2c，说明明确启用了 HTTP/2。不少客户会问：我没动过配置，怎么也会开？这不奇怪。有些镜像、编译参数或面板环境会把 http2 模块一起带上。别靠记忆判断，拿命令输出为准。
升级 2.4.71 和临时关闭，怎么选？
有维护窗口、能接受 Apache 重启，就升级到 2.4.71；暂时不能升级、又想先把风险压下来，可以临时关闭 HTTP/2。关闭的代价很直接：浏览器会退回 HTTP/1.1，普通企业站、博客站感知通常不明显；高并发静态资源站、图片站、下载站可能会觉得加载没有原来顺。
临时关闭可以这样做：Debian、Ubuntu 可执行 a2dismod http2，再 apache2ctl configtest，再 systemctl restart apache2。CentOS、RHEL 可在 Apache 模块配置里注释 LoadModule http2_module modules/mod_http2.so，或把 Protocols 配置中的 h2、h2c 去掉，再 httpd -t，再 systemctl restart httpd。改完别急着走，用 curl -I 你的域名看一下响应头，确认没有继续按 HTTP/2 协商。
这里有个取舍：临时关闭不是修复，只是把触发面先拿掉。等发行版安全更新或官方升级包可用，还是要回到 2.4.71 这条线上。
WordPress 主题和 DedeCMS 模板要跟着改吗？
这次问题在 Apache 的 mod_http2 模块，不在 WordPress 主题、DedeCMS 模板、HTML 模板或建站源码里。也就是说，不建议你因为这个漏洞去乱改主题函数、插件钩子或模板文件。先把服务器层面的 Apache 版本和 HTTP/2 开关处理掉，再看站点有没有异常。
如果你用的是微码盒下载的 WordPress 主题或 DedeCMS 模板，这次也不需要把模板当成漏洞源头。模板要管的是页面展示和站点功能，Apache 的协议模块归服务器运维。两边分开查，更容易定位。
虚拟主机、云镜像、自建 VPS，分别查哪里？
自建 VPS 和独立服务器由你自己查；虚拟主机用户通常碰不到 Apache 配置，需要向服务商确认是否已升级到 2.4.71，或是否已临时关闭 HTTP/2。云镜像、应用市场镜像还要多看一层：系统镜像本身是否更新、你实例里的 Apache 是不是还停在旧版本。报道标题提到 64% 云环境可能受影响，但素材没有给出统计口径；对站长来说，能落地的还是查自己这台服务。
如果是给客户做站的小型团队，建议把这次自查写成交付清单：Apache 版本、HTTP/2 状态、是否已升级或临时关闭、重启后站点是否正常。别只留一句已处理，后面复查会省很多事。
需要模板和建站教程，可在微码盒站内查看；这次更该先看的，是你服务器上那行 Apache 版本。
