Apache HTTP Server 2.4.69が公開、脆弱性20件を修正

Apache Software Foundationは2026年10月1日、Apache HTTP Server 2.4系の最新版「2.4.69」を公開しました。公式の脆弱性一覧では、2.4.69で修正された脆弱性は20件で、重大度の評価は「moderate」が5件、「low」が15件です。JVN（JPCERT/CCとIPA）も10月2日に脆弱性レポートを公開しています。この記事では、Apache 2.4.69の脆弱性修正の内容と、Web制作・運用の現場で確認しておきたい点をまとめます。

この記事の目次

ニュースの概要
何が変わるのか
読者への影響
確認すること
筆者の見解
出典（一次情報）

ニュースの概要

Apache HTTP Serverプロジェクトのダウンロードページには、2.4.69が2026年10月1日にリリースされ、現時点での最新のGA版（安定版）であることが書かれています。公式の「Apache HTTP Server 2.4 vulnerabilities」ページには、2.4.69で修正された脆弱性のセクションがあり、各項目に2026年10月1日の更新（Update 2.4.69 released）が記されています。

JVNは10月2日に「Apache HTTP Server 2.4における複数の脆弱性に対するアップデート（2026年10月1日）」を公開し、2.4.69が公開されたこと、詳細はApache HTTP Serverのアドバイザリを参照することを案内しています。いま2.4系を使っている場合は、バージョンを確認し、2.4.69へ更新する計画を立てる段階です。

何が変わるのか

修正された脆弱性の件数と重大度

公式ページの2.4.69のセクションには、20件のCVEが載っています。重大度の評価は次のとおりです。

moderate（5件）: CVE-2026-42528（mod_davの共有ロックのオーバーフロー）、CVE-2026-57941（mod_http2のuse-after-free）、CVE-2026-59685（Windowsでの8.3形式のパス処理に関する範囲外書き込み）、CVE-2026-63292（mod_vhost_aliasのスタックオーバーフロー）、CVE-2026-93546（mod_dav_fsの名前空間に関する整数オーバーフロー）
low（15件）: CGI用ディレクトリでの内部リダイレクトに関するCVE-2026-42356（件名は「limited RCE」）のほか、mod_auth_digest、mod_proxy_uwsgi、mod_rewrite、mod_ssl、mod_session、mod_userdirなど、多くのモジュールにわたる

「low」が多数を占めますが、モジュールごとに影響の出る条件が異なります。自分の環境で有効にしているモジュールを確認することが重要です。

moderate評価のうち、条件が分かりやすい4件

mod_vhost_alias（CVE-2026-63292）: 公式の説明によると、全プラットフォームで、8192バイトを超えるHostヘッダーを含むHTTPリクエストにより、サービス拒否、あるいは任意のコード実行の可能性があります。条件は、VirtualDocumentRootがホスト名の書式指定子を使い、かつLimitRequestFieldSizeが既定値より大きく設定されている場合です。
mod_dav_fs（CVE-2026-93546）: 書き込み権限を持つ認証済みのWebDAVクライアントが、多数のXML名前空間を宣言するPROPPATCHリクエストを送ると、ワーカープロセスをクラッシュさせたり、ディレクトリのプロパティデータベースを恒久的に破損させたりできる、と説明されています。
mod_dav（CVE-2026-42528）: WebDAVのロックを作成できる権限を持つ攻撃者が、サーバーの子プロセスをクラッシュさせられるとされています（公式ページの本文は2.4.67以前、影響範囲の欄は2.4.68までと、記述が異なります）。
Windows（CVE-2026-59685）: Windows上で、展開すると長くなる8.3形式の名前を含むパスを処理する際の範囲外書き込みです。2.4.0〜2.4.68が影響を受けます。

mod_http2のuse-after-free（CVE-2026-57941）は、2.4.17から2.4.68までが影響を受けるとされています。

low評価のうち、設定に関わるもの

公式ページでlowとされているものにも、設定しだいで意味が変わる項目があります。たとえば、mod_proxy_ftpは、フォワードプロキシの構成で、信頼できないFTPサーバーが細工したPASV応答により、プロキシが第三者のホストへデータ接続を開く場合があるとされています（CVE-2026-63045）。mod_userdirは、絶対パスで非ワイルドカードのUserDirを設定している場合の情報漏えい（CVE-2026-79768）が載っています。mod_session_cookieでは、内部リダイレクトを挟んでSessionCookieRemoveが変わると、セッションクッキーがバックエンドに渡る場合がある、とされています（CVE-2026-47360）。

読者への影響

自分でサーバーを運用している制作者・開発者: VPSや自前のサーバーでApache 2.4を動かしている場合は、2.4.69への更新対象です。
レンタルサーバーやマネージドな環境を使っている人: 通常はApacheの更新は事業者側の対応になるため、事業者のお知らせを確認してください。
ローカル開発環境（XAMPPなど）の利用者: ローカルにApacheを入れている場合、インターネットや他の端末に公開している場合は、更新を検討してください。
WebDAVやmod_vhost_aliasを使っている人: 上記のとおり、いずれも一定の条件を満たす場合の問題です。使っているか、条件を満たしているかを設定ファイルで確認してください。

確認すること

サーバーで httpd -v（環境によっては apache2 -v）を実行し、バージョンが2.4.69未満でないか確認する。
これは公式ページの記載ではなく一般的な注意ですが、OSのパッケージ管理で配布されているApacheは、ディストリビューションが修正を取り込んだ版に更新される場合があります。番号が2.4.69でなくても、ディストリビューションの案内を確認してください。
設定ファイルで、mod_dav、mod_dav_fs、mod_vhost_alias、mod_http2、mod_proxy_ftp、mod_userdirなどが有効かを確認する。
Windowsで動かしている場合は、公式ページのCVE-2026-59685の記述を確認する。
更新する前に、設定ファイルのバックアップを取り、テスト環境で起動確認をしてから本番に反映する。

筆者の見解

私見では、今回いちばん見落としやすいのは、lowと評価されたCVE-2026-42356の件名に「limited RCE（限定的なリモートコード実行）」とある点です。重大度はlowでも、CGI用ディレクトリを残している古い構成では、moderateのWebDAV関連より自分に関係が深いという逆転が起こり得ると考えます。反対に、moderateのmod_vhost_aliasは、LimitRequestFieldSizeを既定値より大きくしていなければ条件を満たしません。

そのため、今回の20件は重大度の並び順ではなく、自分のhttpd.confで有効なモジュールと設定項目で読み替えるのが実務的だと考えます。ただし、この読み替えは更新を後回しにする理由ではなく、更新までの間に何を止めておくかを決める材料として使うのがよいと考えます。