Apache HTTP ServerにRCE脆弱性、2.4.71で修正
Apache HTTP Serverのmod_http2に、リモートからコード実行を許しうる脆弱性があり、2.4.55から2.4.70が対象です。2.4.71への更新を、mod_http2を使う公開サーバーから優先して進めてください。
急ぎ度: 至急
CVSS v3が9.8で、認証なしにネットワーク経由で攻撃でき、修正版の2.4.71がすでに公開されているため、公開サーバーから先に更新する段階です。
関係があるか
mod_http2を読み込んだApache HTTP Server 2.4.55から2.4.70を動かしている組織が対象です。インターネットに公開しているWebサーバーやリバースプロキシは、特に早く確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Apache HTTP Server | 2.4.55から2.4.70 | 2.4.71（2026年11月11日公開） |
| mod_h2（GitHubで配布されている版） | 2.0.8から2.0.42 | 修正版の版番号は、mod_h2プロジェクトの案内で確認してください |
| Linuxディストリビューション提供のhttpd | 配布元ごとに版の付け方が異なります | 配布元の勧告で確認してください。Red HatはRHSA-2026:98953、RHSA-2026:98954、RHSA-2026:98968、RHSA-2026:98978、RHSA-2026:98979、RHSA-2026:98981、RHSA-2026:98982を公開しています |
確かめ方
- 1
httpd -v（Debian系はapache2 -v）で版を確認します。2.4.55から2.4.70なら対象の範囲です。 - 2
httpd -M | grep http2でmod_http2が読み込まれているか確認します。 - 3パッケージ版を使っている場合は、版番号だけで判断せず、配布元の勧告に載った更新を適用済みか確認します。
- 4mod_h2をGitHubから別に導入している場合は、そちらの版も確認します。
何が起きたか
Apache HTTP ServerのHTTP/2対応モジュールmod_http2に、リモートコード実行（RCE）につながる脆弱性が見つかりました。CVSS v3は9.8で、修正版の2.4.71が2026年11月11日に公開されています。
mod_http2のassign_headers()で、共有のリソースを複数の処理が同時に扱う際の同期が不十分でした（CWE-362。入力の検証不備を示すCWE-20も付いています）。ApacheのCVE記録では、題名に「ヒープ破損とRCE」とあります。
報告は、AnthropicのOSS Scannerが2026年10月26日、Google CloudのVulnerability ResearchのAnthony WeemsさんとSimon Scannellさんが11月3日に出しました。2.4.71は同じ日に、mod_mdのNULLポインター参照によるクラッシュ（重要度はimportant）と、mod_vhost_aliasの1バイトのスタックバッファー上書き（重要度はlow）も修正しています。
攻撃の流れ
-
1
細工した通信
攻撃者が、mod_http2を使うサーバーへHTTP/2の通信を送ります。
-
2
同期の不備
assign_headers()が共有データを同時に扱い、同期が取れない時間帯が生じます。
-
3
ヒープ破損
その結果、サーバーのメモリ上のヒープ領域が壊れます。
-
4
コード実行
壊れたメモリを足がかりに、サーバー上でコードを実行されるおそれがあります。
どう悪用されるか
CVSSのベクターでは、ネットワーク経由で攻撃でき（AV:N）、特別な条件は要らず（AC:L）、認証も利用者の操作も不要です（PR:N、UI:N）。インターネットから届く場所にmod_http2を有効にしたサーバーがあれば、攻撃の対象になりえます。
悪用されると、機密性・完全性・可用性のすべてに大きな影響が出ると評価されています。サーバー上でコードを実行され、データの読み取りや改ざん、サービス停止に至るおそれがあります。
今すぐやること
-
1
対象のサーバーを洗い出す
Apache HTTP Serverを動かしている機器を一覧にし、版とmod_http2の読み込み状況を確認します。リバースプロキシとして使っている機器や、検証環境に置いたままのものも含めます。
httpd -v -
2
2.4.71または配布元の修正版に更新する
インターネットに公開しているサーバーから先に更新します。パッケージ版は、配布元が出した修正版を適用します。mod_h2をGitHubから導入している場合は、プロジェクトの案内で修正版を確認して更新します。
-
3
更新後に再起動し、状態を確認する
Apacheを再起動して、新しい版が動いていることを確認します。同じ更新でmod_mdとmod_vhost_aliasの脆弱性も修正されます。
httpd -v -
4
更新前のログを点検する
更新が遅れた機器では、エラーログに子プロセスの異常終了（セグメンテーション違反など）が残っていないか見ます。メモリ破損を伴う脆弱性なので、異常終了は調べるきっかけになります。ただし、見つからなくても侵害がなかったとは言い切れません。
すぐ更新できないとき
Apacheの告知には、回避策は示されていません。更新までのつなぎとして、HTTP/2を使う必要がないサーバーでは、mod_http2を読み込まない構成にして脆弱なコードを使わない方法が考えられます。ただし、この方法で攻撃を防げるとはApacheが確認しているわけではないため、修正版への更新が前提です。
背景
mod_http2は、Apache HTTP ServerにHTTP/2を扱わせるモジュールです。Webサイトの表側にあるサーバーや、社内システムの前段に置くリバースプロキシで使われ、インターネットから直接アクセスを受ける機器に載っていることが多い部品です。今回、mod_h2のGitHub配布版も対象に含まれているのは、httpdに同梱されているmod_http2と、独立して配布されているmod_h2が同じコードを共有しているためとみられます。
mod_http2では、2026年10月1日公開の2.4.69でも、共有バッファーの再入に起因するuse-after-free（CVE-2026-57941、重要度はmoderate）が修正されたばかりです。今回の対象は2.4.55から2.4.70なので、2.4.69や2.4.70に最近更新した環境も、今回の脆弱性は修正されていません。報告者の一つはAnthropicのOSS Scannerで、自動のスキャナーが見つけた脆弱性という点でも目を引きます。
よくある質問
Q.パッケージ版のhttpdが2.4.71にならないのですが、修正されていますか。
rpm -q --changelog httpd | grep CVE-2026-119618 で調べられます。まだ分かっていないこと
- 実際の攻撃での悪用や、攻撃コードの公開があるかは、Apacheの告知に書かれていません。
- 悪用に必要なmod_http2の設定条件（HTTP/2の有効化の有無など）は、告知に書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Apache Software FoundationApache HTTP Server |
2.4.55 〜 2.4.70→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。
- Debian DEBIAN-CVE-2026-119618 apache2 この記録に修正版の記載なし
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Concurrent Execution using Shared Resource with Improper Synchronization vulnerability in Apache HTTP Server's mod_http2 in assign_headers() can lead to RCE.
This issue affects Apache HTTP Server: from 2.4.55 through 2.4.70.
Affected releases of mod_h2 from GitHub: from 2.0.8 through 2.0.42.
出典: Security Online NVD GitHub Advisory
同じ話題を、ほかのメディアでも
参照URL
- REDHAT Red Hat
- SECURITYONLINE CVE-2026-119618: Apache HTTP Server Remote Code Execution Fixed in 2.4.71
- web httpd.apache.org
- web nvd.nist.gov
- web github.com
- web openwall.com