CVE-2026-94084 影响 8.0.7 之前的 Suricata：当同一条 HTTP/2 事务被同时使用带 transform 和不带 transform 的 http.response_header 规则检查时，Http2ThreadMultiBuf 会出现释放后使用（use-after-free）。CVSS 基础分 9.4，评级为严重。

触发条件落在协议解析与规则匹配的交界处。同一事务被两类规则交叉检查时，缓冲区对象在一个检查路径上已经释放，另一个路径仍然持有引用并继续写入，形成可被远程流量触发的内存破坏点。这类缺陷不会稳定复现，取决于规则的组合方式与流量时序。

修复落在 8.0.7 版本，Suricata 官方论坛发布了 8.0.7 的发布公告，代码仓库中的修复提交与 8.0.6 到 8.0.7 的差异对比均可公开查阅。

Suricata 通常部署在流量的前置位置，一旦被触发会直接影响检测链路的完整性。处置顺序是核对资产清单中的版本、升级到 8.0.7 及以上、在 SIEM 与 IDS 日志中排查与 HTTP/2 相关的异常崩溃或进程重启记录，并确认升级后规则集重新加载成功。