Apache HTTP Server 2.4.71公開、mod_http2のRCE脆弱性など3件を修正

Apache Software Foundation（ASF）は2026年11月11日、Apache HTTP Server 2.4.71を公開しました。Apache HTTP Server 2.4.71では3件の脆弱性が修正され、そのうち1件のCVE-2026-119618は、mod_http2に起きる競合状態で、リモートからのコード実行（RCE）につながるおそれがある深刻度「critical」です。影響を受けるのは2.4.55から2.4.70までなので、これらの版を使っているサーバーは、2.4.71への更新が必要です。

この記事の目次

mod_http2の競合状態で、2.4.55〜2.4.70が影響を受ける
ほかの2件はmod_mdとmod_vhost_alias
2.4.70から日を置かずに出た2.4.71
更新するときの手順と、確認しておきたいこと
見解：「使っていない機能」を把握していること自体が防御になる
出典（一次情報ほか）

mod_http2の競合状態で、2.4.55〜2.4.70が影響を受ける

ASFの脆弱性ページによると、CVE-2026-119618はmod_http2のassign_headers()で、共有リソースの同期が不適切なまま並行して実行される問題です。ヒープの破損を経て、RCEに至る可能性があるとされています。影響範囲は、Apache HTTP Serverが2.4.55から2.4.70まで、GitHubで公開されているmod_h2が2.0.8から2.0.42までです。

発見者として、AnthropicのOSS Scanner（管理番号ANT-2026-MAPKT6MZ）と、Google Cloud Vulnerability ResearchのAnthony Weems氏、Simon Scannell氏が記載されています。セキュリティチームへの報告は、Anthropicが2026年10月26日、Googleが11月3日で、修正は11月11日のリリースに入りました。

ここで確認しておきたいのは、「自分のサーバーがmod_http2を使っているか」です。ASFの記載は脆弱性の概要と影響範囲までで、どの設定で悪用されやすいかといった条件は書かれていません。使っているかどうかが分からない場合は、まず読み込まれているモジュールの一覧を見て、http2_moduleがあるかを確認するところから始められます。

ほかの2件はmod_mdとmod_vhost_alias

残り2件は、重大度が下がります。

CVE-2026-106023（important）：mod_mdのNULLポインター参照で、HTTPリクエストの処理中に子プロセスがクラッシュします。影響は2.4.30から2.4.70までです。
CVE-2026-109163（low）：mod_vhost_aliasの1バイトのスタックバッファーオーバーフローで、CVE-2026-63292の後に見つかった問題とされています。影響は2.4.69と2.4.70のみです。

mod_mdはACMEによる証明書の自動取得・更新に使われるモジュールです。この機能を使っているサーバーでは、クラッシュの対象になりうる点に注意してください。いずれも、2.4.71で修正されています。

2.4.70から日を置かずに出た2.4.71

窓の杜によると、直前の2.4.70は11月9日に公開され、メモリ破損やWindowsでのクラッシュが修正されていました。その2日後に、セキュリティ修正をまとめた2.4.71が出た形です。窓の杜は、2.4.71でmod_deflate、mod_dav、mod_remoteipなどのモジュールの不具合が修正され、mod_mdの機能も改善されたとも伝えています。

ASFの脆弱性ページの一覧を見ると、2.4.69は2026年10月公開でCVEが20件、2.4.68は6月で13件、2.4.67は5月で11件と記載されています。ここ半年の更新は、脆弱性修正を含むものが続いています。定期的に更新を確認する運用が前提になっていると言えるでしょう。

更新するときの手順と、確認しておきたいこと

Linuxディストリビューションのパッケージで入れている場合、2.4.71そのものが配布されるまでには時間がかかることがあります。各ディストリビューションは、バックポートで個別に修正を取り込んで、バージョン番号を変えないこともあります。そのため、バージョン表記だけでは修正済みかどうかを判断できません。ディストリビューションのセキュリティ情報で、CVE-2026-119618に対応済みかを確認してください。

ソースからビルドしている場合は、2.4.71に更新します。更新後は、apachectl -vのようにバージョンを確かめ、設定の構文チェックをしてから再起動する流れが一般的です。HTTP/2を使うサイトでは、更新後にHTTP/2での接続が正常にできているかも確認しておくと安心です。

共用レンタルサーバーを使っている場合は、サーバー側の更新が事業者の管轄になります。利用者が操作する範囲ではないため、事業者のお知らせで対応状況を確認することになります。

見解：「使っていない機能」を把握していること自体が防御になる

個人的には、今回の件で実務的に効くのは、更新の速さよりも、自分のサーバーで有効なモジュールを把握していることだと考えます。mod_http2、mod_md、mod_vhost_aliasはどれも標準的なモジュールですが、すべてのサイトで有効とは限りません。使っていないモジュールを読み込んでいないなら、その分だけ影響を受ける範囲は狭まります。

もっとも、これは今回の脆弱性が実際にどの条件で悪用できるかを確認したうえでの話ではなく、公式ページに悪用条件の記載がないための一般的な整理です。更新が最優先であることは変わりません。更新を済ませたうえで、不要なモジュールを外す見直しを次の作業として入れる、という順序がよいと考えます。

出典（一次情報ほか）

2026年11月13日時点の情報です。