根据其标题，远程主机上运行的 Apache 版本为低于 2.4.67 的 2.4.x。因此，该应用程序受到多个漏洞的影响：

- 使用 HTTP/2 协议时，Apache HTTP Server 中存在双重释放和可能的远程代码执行漏洞。(CVE-2026-23918)

- 本地 .htaccess 作者可在 mod_rewrite 中通过 ap_expr 提升权限，以 httpd 用户的权限读取文件。(CVE-2026-24072)

- mod_proxy_ajp 中存在一个通过 ajp_msg_check_header() 造成的基于堆的缓冲区溢出。恶意 AJP 服务器可发送恶意 AJP 消息，从而导致在堆缓冲区末尾之后写入 4 个攻击者控制的字节。(CVE-2026-28780)

- mod_md 中不受限制的 OCSP 响应数据处理允许不受限制或节流地分配资源。(CVE-2026-29168)

- mod_dav_lock 中的空指针取消引用可能允许通过恶意请求造成拒绝服务。(CVE-2026-29169)

- 针对 mod_auth_digest 的时序攻击允许远程攻击者绕过摘要认证。(CVE-2026-33006)

- mod_authn_socache 中的空指针取消引用允许未经认证的远程用户导致缓存转发代理配置中的子进程崩溃。(CVE-2026-33007)

- 不受信任或遭到破坏的后端服务器转发恶意状态行时，多个模块中存在 HTTP 响应拆分漏洞。 (CVE-2026-33523)

- mod_proxy_ajp getter 函数中存在一个越界读取漏洞。(CVE-2026-33857)

- mod_proxy_ajp 的 ajp_msg_get_string() 中存在因缺少空终止检查而导致的堆缓冲区过度读取。(CVE-2026-34032)

- mod_proxy_ajp 的 ajp_parse_data() 中存在堆过度读取和内存泄露漏洞。(CVE-2026-34059)

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4571 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4571-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2026 年 5 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：apache2 版本：2.4.67-1~deb11u1 CVE ID：CVE-2026-24072 CVE-2026-28780 CVE-2026-29168 CVE-2026-29169 CVE-2026-33006 CVE-2026-33007 CVE-2026-33523 CVE-2026-33857 CVE-2026-34032 CVE-2026-34059 Debian 缺陷：1135737

    在 Apache HTTP 服务器中发现了多个漏洞，可能导致远程代码执行、特权提升、服务拒绝或信息泄露。

    发布勘误表是因为 DLA??4571??1 标记不正确，CVE??2026??28780 和 CVE??2026??2916 为未修复。

    这两个漏洞实际上已在版本 2.4.67??1~deb11u1，其中包含所需的安全补丁。

    此外，CVE??2026??23918 被标记为不影响 Bullseye，因为之前发布的任何 Bullseye 程序包中不存在易受攻击的代码。
    但是，即使不影响此版本，更新后的程序包也包含针对此问题的补丁。

    对于 Debian 11 bullseye，已在 2.4.67-1~deb11u1 版本中修复这些问题。

    我们建议您升级 apache2 程序包。

    如需了解 apache2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/apache2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机上存在安装的程序包，该程序包受到 ALSA-2026：41906 公告中提及的多个漏洞的影响。

    * httpd：针对 （CVE-2024-42516） 的CVE-2023-38709修复不完整
      * Apache HTTP Server：mod_rewrite： Apache HTTP Server：通过 .htaccess 文件操纵 （CVE-2026-24072） 进行权限升级
      * httpd：mod_auth_digest：时序攻击允许绕过摘要式认证 （CVE-2026-33006）
      * httpd：通过特别构建的请求 （CVE-2026-29169） 造成空指针取消引用
      * httpd：Apache HTTP Server：通过恶意后端服务器造成的基于堆的缓冲区溢出 （CVE-2026-34356）
      * httpd：Apache HTTP Server：通过对攻击者控制的服务器的出站 OCSP 请求造成的缓冲区过度读取 （CVE-2026-44185）
      * httpd： Apache HTTP Server：通过构建的正则表达式造成的拒绝服务 （CVE-2026-44631）
      * httpd：Apache HTTP Server：通过攻击者控制的 FTP 服务器导致 mod_proxy_ftp 中的拒绝服务 （CVE-2026-44186）
      * httpd：Apache httpd mod_dav_fs：由于路径处理问题而拒绝服务 （CVE-2026-42535）
      * httpd：Apache HTTP Server：通过 mod_xml2enc （CVE-2026-42536） 中不受信任的内容造成基于堆的缓冲区溢出
      * httpd：Apache HTTP Server：mod_proxy_html中的缓冲区溢出允许安全绕过 （CVE-2026-34355）
      * httpd：Apache HTTP Server：mod_headers 和 mod_mime 中的越界读取 （CVE-2026-43951）
      * httpd：Apache HTTP Server：本地 .htaccess 作者可以 httpd 用户权限 （CVE-2026-44119） 读取文件


    错误修复和增强功能：

      * 解决来自 httpd 2.4.68 的中等严重性问题 [almalinux-9.8.z] （JIRA：AlmaLinux-184520）
      * 补丁 [almalinux-9.8.z] 中的 CVE-2026-34355 mod_proxy_html回归 （JIRA：AlmaLinux-192752）

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 RockyLinux 10 主机上存在安装的程序包，该程序包受到公告 RLSA-2026：34109 中提及的多个漏洞的影响。

    * httpd：针对 （CVE-2024-42516） 的CVE-2023-38709修复不完整

    * httpd：通过特别构建的请求 （CVE-2026-29169） 造成空指针取消引用

    * httpd：Apache HTTP Server：通过恶意后端服务器造成的基于堆的缓冲区溢出 （CVE-2026-34356）

    * httpd：Apache HTTP Server：通过对攻击者控制的服务器的出站 OCSP 请求造成的缓冲区过度读取 （CVE-2026-44185）

    * httpd： Apache HTTP Server：通过构建的正则表达式造成的拒绝服务 （CVE-2026-44631）

    * httpd：Apache HTTP Server：通过 mod_xml2enc （CVE-2026-42536） 中不受信任的内容造成基于堆的缓冲区溢出

    * httpd：Apache HTTP Server：mod_proxy_html中的缓冲区溢出允许安全绕过 （CVE-2026-34355）

    错误修复和增强功能：

    * 解决来自 httpd 2.4.68 的中等严重性问题 [rhel-10.2.z] （JIRA：Rocky Linux-184518）

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2026-41906 公告中提及的多个漏洞影响。

    - 解决了： RHEL-192752 - 补丁中的 CVE-2026-34355 mod_proxy_html回归
    - 解决： RHEL-186217 - httpd：Apache HTTP Server：通过恶意后端服务器造成的堆缓冲区溢出 （CVE-2026-34356）
    - 解决了： RHEL-182578 - httpd：针对 （CVE-2024-42516） 的CVE-2023-38709修复不完整
    - 还解决了 CVE-2026-24072、 CVE-2026-33006、 CVE-2026-42535、 CVE-2026-43951、 CVE-2026-44119、 CVE-2026-44186
    - 解决了： RHEL-186186 - httpd：mod_proxy_html缓冲区处理漏洞 （CVE-2026-34355）
    - 解决了： RHEL-175636 - httpd：mod_dav_lock 使用错误的锁定发现 （CVE-2026-29169）
    - 解决了： RHEL-186196 - mod_xml2enc：修复 fix_skipto （CVE-2026-42536） 中的 bblen 记账
    - 解决了： RHEL-186164 - httpd：修复 mod_ssl （CVE-2026-44185） 中的 OCSP 写入缓冲区推进缺陷
    - 解决了： RHEL-184312 - httpd：ap_regname限制为合理的捕获 （CVE-2026-44631）
    - 解决了：RHEL-173555 - httpd：Apache HTTP Server mod_proxy_ajp：通过基于堆的缓冲区溢出执行任意代码 (CVE-2026-28780)
    - 解决了：RHEL-175080 - httpd：空指针取消引用可导致子进程崩溃 (CVE-2026-33007)
    - 解决了：RHEL-175100 - httpd：AJP getter 函数中存在差一越界读取 (CVE-2026-33857)
    - 解决了：RHEL-175028 - httpd：由于缺少空终止符检查，导致基于堆的缓冲区过度读取 (CVE-2026-34032)

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Apache httpd 版本低于 2.4.67。因此，该软件受到 2.4.67 公告中提及的多个漏洞影响。

  - Apache HTTP Server mod_proxy_ajp中基于堆的缓冲区溢出漏洞。如果 mod_proxy_ajp 连接到恶意 AJP 服务器，此 AJP 服务器可将恶意 AJP 消息发送回 mod_proxy_ajp，并导致其在基于堆的缓冲区结束之后写入 4 个攻击者控制的字节。此问题会影响 2.4.66 及之前版本的 Apache HTTP Server。建议用户升级到修复了此问题的版本 2.4.67。
    (CVE-2026-28780)

  - 使用 HTTP/2 协议的 Apache HTTP Server 中存在双重释放和可能的 RCE 漏洞。此问题影响 Apache HTTP Server：2.4.66。建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-23918)

  - Apache HTTP 2.4.66 和更早版本中多个模块中的权限升级缺陷允许本地 .htaccess 作者以 httpd 用户的权限读取文件。建议用户升级为已修复此问题的 2.4.67 版。(CVE-2026-24072)

  - 通过 OCSP 响应数据的 Apache HTTP 服务器的 mod_md 中无限制或节流的资源分配漏洞。此问题会影响 Apache HTTP Server 2.4.30 至 2.4.66（含）。建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-29168)

  - Apache HTTP Server 2.4.66 和较早版本中 mod_dav_lock 中的空指针取消引用可允许攻击者通过 mod_dav 或 mod_dav_fs 不在内部使用的恶意request.mod_dav_lock导致服务器崩溃。
    mod_dav_lock唯一已知的用例mod_dav_svn是从版本早于 1.2.0。建议用户升级为已修复此问题的 2.4.66 版。
    (CVE-2026-29169)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 httpd 版本低于 2.4.67。因此，如公告 SSA:2026-124-01 所述，其会受到多个漏洞影响。

    Slackware 15.0 以及当前版本有新的 httpd 程序包可用于修复安全问题。

Tenable 已直接从 httpd 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 22.04 LTS/24.04 LTS/25.10/26.04 LTS 主机上安装的多个程序包受到 USN-8239-1 公告中提及的多个漏洞影响。

    Bartlomiej Dmitruk 和 Stanislaw Strzalkowski 发现 Apache HTTP Server 在使用 HTTP/2 协议时未能正确处理某些内存操作。远程攻击者可利用此问题使 Apache HTTP 服务器崩溃，从而导致拒绝服务或者可能执行任意代码。此问题仅影响 Ubuntu 26.04 LTS。(CVE-2026-23918)

    发现 Apache HTTP 服务器 mod_rewrite 模块未能正确处理某些特权。本地攻击者可能利用此问题获取敏感信息。(CVE-2026-24072)

    Andrew Lacambra、Elhanan Haenel、Tianshuo Han 和 Tristan Madani 发现 Apache HTTP 服务器mod_proxy_ajp模块未能正确处理某些 AJP 服务器消息。控制后端 AJP 服务器的攻击者可利用此问题使 Apache HTTP 服务器崩溃，从而导致拒绝服务或者可能执行任意代码。(CVE-2026-28780)

    Pavel Kohout 发现 Apache HTTP Server 在处理 OCSP 响应数据时未正确限制mod_md中的资源分配。远程攻击者可能利用此问题造成拒绝服务。(CVE-2026-29168)

    Pavel Kohout 发现 Apache HTTP 服务器未能正确处理某些 mod_dav_lock 内存操作。远程攻击者可能利用此问题造成 Apache HTTP 服务器崩溃，从而导致拒绝服务。(CVE-2026-29169)

    Nitescu Lucian 发现 Apache HTTP Server 在 mod_auth_digest 中存在时序攻击漏洞。远程攻击者可能利用此问题绕过 Digest 身份验证。(CVE-2026-33006)

    Pavel Kohout 和 Arkadi Vainbrand 发现 Apache HTTP 服务器未能正确处理某些 mod_authn_socache 内存操作。远程攻击者可能利用此问题造成 Apache HTTP 服务器崩溃，从而导致拒绝服务。(CVE-2026-33007)

    Haruki Oyama、Merih Mengisteab 和 Dawit Jeong 发现 Apache HTTP Server 在与不受信任或遭到破坏的后端服务器搭配使用时，多个模块中存在 HTTP 响应拆分漏洞。攻击者可能利用此问题注入任意 HTTP 标头。(CVE-2026-33523)

    lhanan Haenel 发现 Apache HTTP 服务器未能正确处理某些 mod_proxy_ajp 内存操作。远程攻击者可能利用此问题造成 Apache HTTP 服务器崩溃，从而导致拒绝服务。(CVE-2026-33857)

    Tianshuo Han 和 Jrme Djouder 发现 Apache HTTP 服务器未能正确处理某些 mod_proxy_ajp 字符串操作。远程攻击者可能会利用此问题来获取敏感信息。(CVE-2026-34032)

    lhanan Haenel 发现 Apache HTTP 服务器未能正确处理某些 mod_proxy_ajp 内存操作。远程攻击者可利用此问题造成 Apache HTTP 服务器崩溃，从而导致拒绝服务或可能获取敏感信息。(CVE-2026-34059)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6248 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6248-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：apache2 CVE ID：CVE-2026-23918 CVE-2026-24072 CVE-2026-28780 CVE-2026-29168 CVE-2026-29169 CVE-2026-33006 CVE-2026-33007 CVE-2026-33523 CVE-2026-33857 CVE-2026-34032 CVE-2026-34059 Debian 缺陷：1135737

    在 Apache HTTP 服务器中发现了多个漏洞，可能导致远程代码执行、特权提升、服务拒绝或信息泄露。

    对于旧稳定发行版本 (bookworm)，已在 2.4.67-1~deb12u2 版本中修复这些问题。

    对于稳定发行版本 (trixie)，已在 2.4.67-1~deb13u2 版本中修复这些问题。针对 CVE-2026-23918 的修复已包含在 Debian 13.4 点版本更新 2.4.66-1~deb13u2 版中，以解决所报告的 HTTP/2 回归。

    我们建议您升级 apache2 程序包。

    如需了解 apache2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/apache2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 针对Apache HTTP Server 2.4.66 中mod_auth_digest的时序攻击允许远程攻击者绕过摘要认证。建议用户升级为已修复此问题的 2.4.67 版。(CVE-2026-33006)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2026:41906 公告中提及的多个漏洞影响。

    httpd 程序包提供 Apache HTTP 服务器，后者是一款强大、高效、可扩展的 Web 服务器。

    安全修复：

    * httpd: 针对 CVE-2023-38709 的修复不完整 (CVE-2024-42516)

    * Apache HTTP Server：mod_rewrite： Apache HTTP Server：通过 .htaccess 文件操纵进行权限升级（CVE-2026-24072）

    * httpd: mod_auth_digest：时序攻击允许绕过摘要认证。(CVE-2026-33006)

    * httpd: 通过特殊构造的请求导致空指针解引用 (CVE-2026-29169)

    * httpd: Apache HTTP Server: 通过恶意后端服务器导致基于堆的缓冲区溢出 (CVE-2026-34356)

    * httpd：Apache HTTP Server：通过出站 OCSP 请求到攻击者控制的服务器发生缓冲区过度读取（CVE-2026-44185）

    * httpd：Apache HTTP Server：通过构建的正则表达式造成的拒绝服务 （CVE-2026-44631）

    * httpd：Apache HTTP Server：通过攻击者控制的 FTP 服务器导致 mod_proxy_ftp 中的拒绝服务 （CVE-2026-44186）

    * httpd：Apache httpd mod_dav_fs：由于路径处理问题而拒绝服务 （CVE-2026-42535）

    * httpd：Apache HTTP Server：通过 mod_xml2enc 中不受信任内容造成的堆缓冲区溢出 （CVE-2026-42536）

    * httpd：Apache HTTP Server：mod_proxy_html 中的缓冲区溢出允许安全绕过 （CVE-2026-34355）

    * httpd：Apache HTTP Server：mod_headers 和 mod_mime 中的越界读取 （CVE-2026-43951）

    * httpd：Apache HTTP Server：本地 .htaccess 作者可以 httpd 用户权限读取文件（CVE-2026-44119） 

    错误修复和增强功能：

    * 解决来自 httpd 2.4.68 的中等严重性问题 [rhel-9.8.z] (JIRA:RHEL-184520)

    * 修复 CVE-2026-34355 补丁引入的回归问题 [rhel-9.8.z] (JIRA:RHEL-192752)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1720 公告中提及的多个漏洞影响。

    Apache HTTP 2.4.66 和更早版本中多个模块中的权限升级缺陷允许本地 .htaccess 作者以 httpd 用户的权限读取文件。

    建议用户升级为已修复此问题的 2.4.67 版。(CVE-2026-24072)

    Apache HTTP Server 中的 mod_proxy_ajp 中存在基于堆的缓冲区溢出漏洞。如果 mod_proxy_ajp 连接到恶意 AJP 服务器，此 AJP 服务器可将恶意 AJP 消息发送回 mod_proxy_ajp，并导致其在基于堆的缓冲区结束之后写入 4 个攻击者控制的字节。

    此问题会影响 2.4.66 及之前版本的 Apache HTTP Server。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-28780)

    Apache HTTP 服务器的 mod_md 中存在通过 OCSP 响应数据造成的无限制或节流的资源分配漏洞。

    此问题会影响 Apache HTTP Server 2.4.30 至 2.4.66（含）。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-29168)

    Apache HTTP Server 2.4.66 和较早版本中 mod_dav_lock 中的空指针取消引用可允许攻击者通过 mod_dav 或 mod_dav_fs 不在内部使用的恶意 request.mod_dav_lock 导致服务器崩溃。

    mod_dav_lock唯一已知的用例mod_dav_svn是从版本早于 1.2.0。

    建议用户升级为已修复此问题的 2.4.66 版。
    (CVE-2026-29169)

    Apache HTTP Server 2.4.66 中针对 mod_auth_digest 的时序攻击允许远程攻击者绕过摘要身份验证。

    建议用户升级为已修复此问题的 2.4.67 版。(CVE-2026-33006)

    Apache HTTP Server 2.4.66 及更早版本中 mod_authn_socache 中的空指针取消引用允许未经认证的远程用户导致缓存转发代理配置中的子进程崩溃。

    建议用户升级为已修复此问题的 2.4.67 版。(CVE-2026-33007)

    后端服务器不受信任或遭到破坏时，多个 Apache HTTP Server 模块中存在 HTTP 响应拆分漏洞。

    此问题会影响 Apache HTTP Server 2.4.66 及之前的版本。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-33523)

    mod_proxy_ajp 中的越界读取漏洞

    （Apache HTTP Server 中）。

    此问题会影响 2.4.66 及之前版本的 Apache HTTP Server。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-33857)

    Apache HTTP Server 中的不当 NULL 终止和越界读取漏洞。

    此问题会影响 2.4.66 及之前版本的 Apache HTTP Server。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-34032)

    Apache HTTP Server 中的缓冲区读取越界漏洞。

    此问题会影响 2.4.66 及之前版本的 Apache HTTP Server。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-34059)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 httpd 版本低于 2.4.67-1。因此，该软件受到 ALAS2-2026-3314 公告中提及的多个漏洞影响。

    Apache HTTP 2.4.66 和更早版本中多个模块中的权限升级缺陷允许本地 .htaccess 作者以 httpd 用户的权限读取文件。

    建议用户升级为已修复此问题的 2.4.67 版。(CVE-2026-24072)

    Apache HTTP Server 中的 mod_proxy_ajp 中存在基于堆的缓冲区溢出漏洞。如果 mod_proxy_ajp 连接到恶意 AJP 服务器，此 AJP 服务器可将恶意 AJP 消息发送回 mod_proxy_ajp，并导致其在基于堆的缓冲区结束之后写入 4 个攻击者控制的字节。

    此问题会影响 2.4.66 及之前版本的 Apache HTTP Server。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-28780)

    Apache HTTP 服务器的 mod_md 中存在通过 OCSP 响应数据造成的无限制或节流的资源分配漏洞。

    此问题会影响 Apache HTTP Server 2.4.30 至 2.4.66（含）。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-29168)

    Apache HTTP Server 2.4.66 和较早版本中 mod_dav_lock 中的空指针取消引用可允许攻击者通过 mod_dav 或 mod_dav_fs 不在内部使用的恶意 request.mod_dav_lock 导致服务器崩溃。

    mod_dav_lock唯一已知的用例mod_dav_svn是从版本早于 1.2.0。

    建议用户升级为已修复此问题的 2.4.66 版。
    (CVE-2026-29169)

    Apache HTTP Server 2.4.66 中针对 mod_auth_digest 的时序攻击允许远程攻击者绕过摘要身份验证。

    建议用户升级为已修复此问题的 2.4.67 版。(CVE-2026-33006)

    Apache HTTP Server 2.4.66 及更早版本中 mod_authn_socache 中的空指针取消引用允许未经认证的远程用户导致缓存转发代理配置中的子进程崩溃。

    建议用户升级为已修复此问题的 2.4.67 版。(CVE-2026-33007)

    后端服务器不受信任或遭到破坏时，多个 Apache HTTP Server 模块中存在 HTTP 响应拆分漏洞。

    此问题会影响 Apache HTTP Server 2.4.66 及之前的版本。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-33523)

    mod_proxy_ajp 中的越界读取漏洞

    （Apache HTTP Server 中）。

    此问题会影响 2.4.66 及之前版本的 Apache HTTP Server。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-33857)

    Apache HTTP Server 中的不当 NULL 终止和越界读取漏洞。

    此问题会影响 2.4.66 及之前版本的 Apache HTTP Server。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-34032)

    Apache HTTP Server 中的缓冲区读取越界漏洞。

    此问题会影响 2.4.66 及之前版本的 Apache HTTP Server。

    建议用户升级到修复了此问题的版本 2.4.67。(CVE-2026-34059)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 10 主机上安装的程序包受到 RHSA-2026:34109 公告中提及的多个漏洞影响。

    httpd 程序包提供 Apache HTTP 服务器，后者是一款强大、高效、可扩展的 Web 服务器。

    安全修复：

    * httpd：针对 （CVE-2024-42516） 的CVE-2023-38709修复不完整

    * httpd：通过特别构建的请求 （CVE-2026-29169） 造成空指针取消引用

    * httpd：Apache HTTP Server：通过恶意后端服务器造成的基于堆的缓冲区溢出 （CVE-2026-34356）

    * httpd：Apache HTTP Server：通过对攻击者控制的服务器的出站 OCSP 请求造成的缓冲区过度读取 （CVE-2026-44185）

    * httpd： Apache HTTP Server：通过构建的正则表达式造成的拒绝服务 （CVE-2026-44631）

    * httpd：Apache HTTP Server：通过 mod_xml2enc （CVE-2026-42536） 中不受信任的内容造成基于堆的缓冲区溢出

    * httpd：Apache HTTP Server：mod_proxy_html中的缓冲区溢出允许安全绕过 （CVE-2026-34355）

    错误修复和增强功能：

    * 解决来自 httpd 2.4.68 的中等严重性问题 [rhel-10.2.z] （JIRA：RHEL-184518）

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 RockyLinux 9 主机上安装的多个程序包受到 RLSA-2026:41906 公告中提及的多个漏洞影响。

    * httpd: 针对 CVE-2023-38709 的修复不完整。(CVE-2024-42516)

    * Apache HTTP Server：mod_rewrite： Apache HTTP Server：通过 .htaccess 文件操纵进行权限升级（CVE-2026-24072）

    * httpd: mod_auth_digest：时序攻击允许绕过摘要认证。(CVE-2026-33006)

    * httpd: 通过特殊构造的请求导致空指针解引用 (CVE-2026-29169)

    * httpd: Apache HTTP Server: 通过恶意后端服务器导致基于堆的缓冲区溢出 (CVE-2026-34356)

    * httpd：Apache HTTP Server：通过出站 OCSP 请求到攻击者控制的服务器发生缓冲区过度读取（CVE-2026-44185）

    * httpd：Apache HTTP Server：通过构建的正则表达式造成的拒绝服务 （CVE-2026-44631）

    * httpd：Apache HTTP Server：通过攻击者控制的 FTP 服务器导致 mod_proxy_ftp 中的拒绝服务 （CVE-2026-44186）

    * httpd：Apache httpd mod_dav_fs：由于路径处理问题而拒绝服务 （CVE-2026-42535）

    * httpd：Apache HTTP Server：通过 mod_xml2enc 中不受信任内容造成的堆缓冲区溢出 （CVE-2026-42536）

    * httpd：Apache HTTP Server：mod_proxy_html 中的缓冲区溢出允许安全绕过 （CVE-2026-34355）

    * httpd：Apache HTTP Server：mod_headers 和 mod_mime 中的越界读取 （CVE-2026-43951）

    * httpd：Apache HTTP Server：本地 .htaccess 作者可以 httpd 用户权限读取文件（CVE-2026-44119） 

    错误修复和增强功能：

    * 解决来自 httpd 2.4.68 的中等严重性问题 [rhel-9.8.z] （JIRA：Rocky Linux-184520）

    * 修复 [rhel-9.8.z] 中的 CVE-2026-34355 mod_proxy_html回归 （JIRA：Rocky Linux-192752）

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115232	Apache 2.4.x < 2.4.67 多个漏洞	Web App Scanning	Component Vulnerability	2026/5/20	2026/5/20	high
313221	Debian dla-4571：apache2 - 安全更新	Nessus	Debian Local Security Checks	2026/5/8	2026/5/14	critical
328786	AlmaLinux 9：httpd （ALSA-2026：41906）	Nessus	Alma Linux Local Security Checks	2026/7/21	2026/7/21	critical
325386	RockyLinux 10：httpd （RLSA-2026：34109）	Nessus	Rocky Linux Local Security Checks	2026/7/7	2026/7/8	critical
328376	Oracle Linux 9：httpd (ELSA-2026-41906)	Nessus	Oracle Linux Local Security Checks	2026/7/20	2026/7/20	critical
311940	Apache 2.4.x < 2.4.67 多个漏洞	Nessus	Web Servers	2026/5/4	2026/5/8	critical
312108	Slackware Linux 15.0/当前 httpd 多个漏洞（SSA：2026-124-01）	Nessus	Slackware Local Security Checks	2026/5/4	2026/5/7	critical
313207	Ubuntu 22.04 LTS/24.04 LTS/25.10/26.04 LTS：Apache HTTP Server 漏洞 (USN-8239-1)	Nessus	Ubuntu Local Security Checks	2026/5/8	2026/5/8	critical
312666	Debian dsa-6248：apache2 - 安全更新	Nessus	Debian Local Security Checks	2026/5/6	2026/5/6	critical
312236	Linux Distros 未修补的漏洞：CVE-2026-33006	Nessus	Misc.	2026/5/5	2026/7/25	medium
327970	RHEL 9：httpd (RHSA-2026:41906)	Nessus	Red Hat Local Security Checks	2026/7/20	2026/7/20	critical
316833	Amazon Linux 2023：httpd、httpd-core、httpd-devel (ALAS2023-2026-1720)	Nessus	Amazon Linux Local Security Checks	2026/5/26	2026/5/27	critical
316988	Amazon Linux 2：httpd，--advisory ALAS2-2026-3314 (ALAS-2026-3314)	Nessus	Amazon Linux Local Security Checks	2026/5/27	2026/5/27	critical
324571	RHEL 10：httpd (RHSA-2026:34109)	Nessus	Red Hat Local Security Checks	2026/7/1	2026/7/8	critical
329047	RockyLinux 9 : httpd (RLSA-2026:41906)	Nessus	Rocky Linux Local Security Checks	2026/7/22	2026/7/23	critical

检测

插件搜索

high

critical

critical

critical

critical

critical

critical

critical

critical

medium

critical

critical

critical

critical

critical