Apache httpd 2.4.71 已新增到 CodeIT 仓库，编译时启用了 HTTP/2（mod_http2）、Brotli、TLS 1.3 和 ALPN，并基于 OpenSSL 4.0.3。这些软件包适用于 RHEL、CentOS、AlmaLinux、Rocky Linux 和 Oracle Linux 7、8、9 和 10，以及 Ubuntu 22.04 和 24.04。
本次更新修复了安全漏洞，建议尽快升级。
RPM 软件包中的 mod_http2 现在直接从 httpd 源码树编译，与 DEB 软件包及 Ubuntu 自带的 apache2 一致，不再来自独立的 mod_h2 项目。软件包名称仍为 mod_http2，版本号改为随 httpd，因此 dnf 或 yum 会自动从 mod_http2 2.0.42 升级到它：无需事先卸载，修改过的 10-h2.conf 也会保留。
此版本 httpd 可通过 mod_http3 使用 HTTP/3，这是一个单独打包的实验性模块：
- RPM，EL8 及更高版本：dnf install mod_http3
- RPM，EL7：yum install mod_http3
- DEB：apt install libapache2-mod-http3
模块安装后即被加载，HTTP/3 需按虚拟主机启用。编辑软件包安装的示例 vhost（ServerName 和证书）：在 EL 上是 /etc/httpd/vhosts.d/http3-vhost.conf，httpd.conf 默认不包含它，请添加 IncludeOptional vhosts.d/*.conf；在 Ubuntu 上运行 a2ensite http3-vhost。然后重新加载 httpd，并在防火墙中开放 443/udp，因为 QUIC 基于 UDP。
主要变更：
- mod_md: 现在可以按 MDomain 单独设置 MDHttpProxy 和 MDCACertificateFile。新的指令 MDHttpProxyCACertificateFile 设置用于验证 HTTPS 代理的 CA 证书。
- mod_deflate: 现在将 gzip 额外字段 (FEXTRA) 的长度按无符号数读取，因此长度字节的高位被设置时不再进行符号扩展，从而修复了对包含额外字段的 gzip 流的解压。
- mod_remoteip: RemoteIP{Trusted,Internal}ProxyList 现在应用到其所在的虚拟主机，并合并主服务器和虚拟主机的代理条目；当两者都包含条目时会记录警告。PR 70207。
- mod_dav: 修复了对无效或溢出的 “Timeout:” 请求头的处理，这类请求头可能会在未显式报错的情况下授予一个已经过期的锁，而不是使用 RFC 4918 规定的最大值。PR 65788
- mod_http2: 现在可以正确处理 OPTIONS 请求的星号形式，而不是将其拒绝为格式错误。PR 70195。
- mod_http2: 修复了对头部长度限制违规的重复日志记录。
- mod_http2: 修复了在启用调试日志并使用 “H2PushDiarySize 0” 创建 HTTP/2 会话时发生的崩溃。
- mod_dav_lock: 修复了 dav_generic_load_lock_record() 以错误的宽度读取 indirect-lock 密钥长度的问题，这可能会在 big-endian 平台上读回错误的长度。PR 70299
- mod_remoteip: 现在在收到完整的 PROXY protocol 头之前连接关闭时，按 info 级别记录，而不是作为错误记录。PR 63893。
修复的漏洞：
- SECURITY: CVE-2026-119618: mod_http2: assign_headers 中的堆破坏和 RCE。Apache HTTP Server 的 mod_http2 中 assign_headers() 存在 Concurrent Execution using Shared Resource with Improper Synchronization 漏洞，可能导致 RCE。此问题影响 Apache HTTP Server：从 2.4.55 到 2.4.70。GitHub 上受影响的 mod_h2 版本：从 2.0.8 到 2.0.42。
- SECURITY: CVE-2026-109163: mod_vhost_alias 1 字节栈缓冲区覆盖（在 CVE-2026-63292 之后）。Apache HTTP Server 的 mod_vhost_alias 中存在基于栈的缓冲区溢出漏洞（在 CVE-2026-63292 之后）此问题影响 Apache HTTP Server：2.4.69 和 2.4.70。
- SECURITY: CVE-2026-106023: mod_md 空指针解引用导致子进程崩溃。Apache HTTP Server 的 mod_md 在处理 HTTP 请求期间存在空指针解引用漏洞。此问题影响 Apache HTTP Server：从 2.4.30 到 2.4.70。