Apache HTTP Server（HTTP/2有効時）：mod_http2の重大な欠陥によりリモートでのコード実行が可能に

経緯

2026年11月11日、Apache HTTP Serverプロジェクトは CVE-2026-119618 を公表し、バージョン2.4.71をリリースしました。プロジェクトはこの欠陥を重大と評価しています。欠陥はHTTP/2モジュールmod_http2の関数assign_headers()にあります。同時に実行されるリクエストで共有リソースの同期が適切に行われないことが原因です。プロジェクトの勧告によると、これによりヒープの破損が発生し、リモートでのコード実行につながるおそれがあります。

Red Hatはこの欠陥をCVSSスケールで10点中9.8と評価しています。サーバーに到達できる攻撃者は認証を必要とせず、サーバープロセスを完全に掌握できるおそれがあるとしています。また、mod_http2を有効にした既定の構成に対して信頼できるエクスプロイトが公開研究で実証されていると述べていますが、その研究は明示されていません。セキュリティ企業のWizは後に、利用可能なエクスプロイトはなく、攻撃の報告もないと発表しました。この脆弱性はCISAの悪用済み脆弱性カタログに掲載されておらず、確認したどの情報源も攻撃を報告していません。

バージョン2.4.71では、ほかに2件の欠陥も修正されています。

• CVE-2026-106023（重要度：重要）：mod_mdでのクラッシュ。
• CVE-2026-109163（重要度：低）：mod_vhost_aliasでの1バイトのスタック上書き。

影響を受ける環境

• HTTP/2を有効にしたApache HTTP Server 2.4.55～2.4.70。 HTTP/2は、Protocolsディレクティブにh2（TLS上のHTTP/2）またはh2c（平文TCP上のHTTP/2）が含まれる場合にのみ動作します。このディレクティブはサーバー全体または個別のバーチャルホストに設定できます。
• 以前のHTTP/2の欠陥CVE-2026-23918への対策として2.4.67を導入したサーバーも、引き続き影響を受けます。2.4.67から2.4.70までのすべてのリリースが対象です。
• 単体のモジュールビルド（GitHubのmod_h2）、バージョン2.0.8～2.0.42。 修正版のmod_h2はまだ公開されておらず、プロジェクトのリポジトリはアーカイブされています。

次のシステムは影響を受けません。

• Apache 2.4.55より前のバージョン。
• どのProtocolsディレクティブでもh2もh2cも有効になっていないサーバー。
• 脆弱なコードを含まないRed Hat Enterprise Linux 6、7、8。

2026年11月12日時点のディストリビューションパッケージの状況は次のとおりです。

• RHEL 9： mod_http2-2.0.26-7.el9_9.1で修正済み（RHSA-2026:98981）。
• RHEL 10： mod_http2-2.0.29-5.el10_3.1で修正済み（RHSA-2026:98978）。
• RHEL EUSおよびSAPリリース： 修正は個別の勧告で提供されています。Red Hatは、RHEL 9および10では、そのビルドにより攻撃がはるかに困難になるとして、この欠陥の評価を「重大」ではなく「重要」としています。
• Red Hat JBoss Core ServicesおよびRed Hat Hardened Images： 影響を受けるとされていますが、修正はまだありません。
• Debian： unstable（sid）はapache2 2.4.71-1で修正済みです。Debianのトラッカーは、bookworm、trixie、forkyを脆弱と記載しており、修正パッケージはまだありません。
• Amazon Linux 2、Amazon Linux 2023、Amazon Linux 2027 Preview： 修正は準備中です。
• Ubuntu： まだ状況が公表されていません。

独自のApacheビルドを含むホスティングパネルおよびその他の製品も、ビルドがこのバージョン範囲に該当しHTTP/2が有効な場合は影響を受けます。対応状況は各ベンダーの勧告で確認してください。

今すぐ行うこと

1. apachectl -vまたはhttpd -vでApacheのバージョンを確認します。次に、HTTP/2が有効かどうかを確認します（次のセクションを参照）。
2. 更新します。
   • 自前ビルドまたは上流版のApache： 2.4.71へアップグレードします。
   • RHEL 9および10： 更新を適用します。例：dnf update mod_http2
   • その他のディストリビューション： 修正済みのapache2またはhttpdパッケージが提供され次第インストールします。下記のリンク先のベンダー勧告を確認してください。
3. Apacheを完全に再起動します。 例：systemctl restart httpdまたはsystemctl restart apache2。完全な再起動により、更新されたモジュールが読み込まれます。その後、サイトが応答することを確認します。
4. すぐに更新できない場合： Apacheの勧告には回避策が示されていません。Wizは、Protocols http/1.1を残して、すべてのProtocolsディレクティブからh2とh2cを削除することを推奨しています。サーバー全体の設定とすべてのバーチャルホストを確認してください。その後、apachectl configtestで設定を検証し、Apacheを再起動します。クライアントはHTTP/1.1にフォールバックします。これは、単体のmod_h2ビルドを使用するサーバーにとっても、現時点で唯一の保護手段です。
5. ほかのサーバーも確認します。 リバースプロキシや顧客向けに運用しているサーバーを含め、Apache 2.4.55以降を実行しHTTP/2が有効になっているものがないか確認します。

影響の有無の確認方法

• バージョン： apachectl -v（またはhttpd -v）を実行します。2.4.55から2.4.70までのバージョンが影響を受けます。ディストリビューションのパッケージでは、ディストリビューション独自のバージョン番号を使用しているため、上記の修正済みパッケージのバージョンと比較してください。
• モジュールの読み込み： apachectl -M 2>/dev/null | grep http2で、mod_http2が読み込まれているかを確認できます。
• HTTP/2の有効化： grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/nullを実行し、h2またはh2cがないか確認します。設定ファイルを置いているほかのディレクトリも含めてください。
• 外部から： curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n'は、サイトがHTTP/2で応答する場合に2を出力します。

どのサーバーのProtocolsディレクティブにもh2またはh2cが含まれていない場合、この欠陥の影響は受けません。ただし、他の2件の欠陥も修正されるため、通常のメンテナンスの際にバージョン2.4.71またはディストリビューションの更新を必ず適用してください。

出典

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html