Apache httpdに20件の脆弱性、最大CVSS 9.8で更新を

やること

Apache HTTP Server（Web サーバーのソフト）を 2.4.69 へ更新してください。

• Ubuntu は apt で更新し、そのあと apache2 を再起動してください。USN-8898-1 が10月7日に出ています
• 20.04 LTS 以前は Ubuntu Pro が必要です
• 26.10 は CVE-2026-57941 の修正がページにまだ載っていません

Ubuntu は公式の新しいバージョンへ上げず、今のバージョンに修正だけを取り込みます（バックポート）。そのため 24.04 LTS は 2.4.58 のままで、バージョン番号だけでは判断できません。パッケージのバージョンを上の表と比べてください。同じ仕組みの例は nginxに遠隔で狙える欠陥5件、Ubuntuは全LTSに修正 にもあります。

更新のあとに apache2 を再起動するのは、動いているプロセスが更新前のモジュールを持ち続けるためです。再起動が済むまで、修正は効きません。

公式の一覧にも CVE 記録にも、CVE-2026-57941 の回避策は書かれていません。

何が危ないのか

公式は10月1日に 2.4.69 を公開し、20件を修正しました。Moderate が5件、Low が15件で、Critical と Important はありません。

CVE-2026-57941 は HTTP/2 の処理（mod_http2）の欠陥で、共有のバッファを再入で触るため、解放済みのメモリを使ってしまいます。Ubuntu は、遠隔の攻撃者がサービスを止めたりコードを実行したりするおそれがあると説明しています。

この欠陥の評価は分かれています。Apache の評価は Moderate ですが、米国の CISA は CVSS を 9.8 としました。認証は要らず、ネットワークから届く評価です。悪用については、CISA は「なし」としています。一方で CISA の記録は、自動化できる攻撃で、影響が全面に及ぶ可能性があるとしています。Ubuntu 側の優先度は Medium です。

ほかの Moderate は次の4件です。

• CVE-2026-63292：mod_vhost_alias の欠陥で、停止やコードの実行につながるおそれがあります。条件は、VirtualDocumentRoot にホスト名の書式指定を使い、LimitRequestFieldSize を既定より大きくしたうえで、8192バイトを超える Host ヘッダーを送られることです。全プラットフォームが対象です
• CVE-2026-42528：mod_dav（WebDAV）の共有ロックの欠陥で、子プロセスが止まります。WebDAV のロックを作れる権限が要ります
• CVE-2026-93546：mod_dav_fs の欠陥で、書き込み権限のある認証済みの WebDAV クライアントが、多数の名前空間を宣言した PROPPATCH を送ると、ワーカープロセスが止まり、プロパティのデータベースが壊れ続けます
• CVE-2026-59685：Windows 版だけの欠陥で、展開すると長くなる短縮形式（8.3形式）のパスを処理するときに起きます

Low の15件にも、設定しだいで当たるものがあります。たとえば Digest 認証の mod_auth_digest の欠陥が3件、フォワードプロキシでの FTP の応答の検証不足、mod_rewrite の先読みの使用などです。

対象

CVE-2026-57941 の対象は、Apache の一覧では 2.4.17 から 2.4.68 で、mod_http2 を使うサーバーです。Ubuntu のページと CVE 記録は 2.4.0 から 2.4.68 としていて、範囲の書き方が違います。2.4.68 以前は、どちらでも対象です。

Ubuntu の通知 USN-8898-1 が挙げる CVE は、CVE-2026-56154（mod_rewrite）、CVE-2026-57941、CVE-2026-59797（mod_ssl）の3件です。このうち CVE-2026-57941 は、18.04 LTS から 26.04 LTS までに影響すると書かれていて、16.04 LTS と 14.04 LTS は影響なしです。

中小企業が学べること

使っていないモジュールは読み込まない設定にしておくと、欠陥の当たる範囲が狭くなります。今回の20件は、mod_http2、mod_dav、mod_auth_digest、mod_proxy_ftp など、モジュールごとの条件が付いていました。apache2ctl -M で読み込んでいるモジュールを一覧にして、使っていないものを外してください。

WebDAV やフォワードプロキシのように、特別な用途の機能は、使うときだけ有効にします。書き込み権限のあるアカウントや、外から使えるプロキシが、攻撃の足がかりになりやすいためです。

レンタルサーバーで動かしている場合は、サーバー側の更新を事業者が行います。更新の予定を事業者に聞いて、結果を控えておいてください。