# Apache 2.4.71公開、HTTP/2処理にコード実行の恐れ

- 分類: 脆弱性情報
- 公開日: 2026年11月11日
- 発行: サイバーセキュリティ情報センター 編集部（株式会社Rabbitly）
- URL: https://security-info.org/articles/2026-11-11-apache-httpd-2-4-71-http2-rce/
- タグ: Apache HTTP Server、Webサーバー、Linux、JVN、海外、CVE-2026-119618、CVE-2026-106023、CVE-2026-109163

> Apache HTTP Server 2.4.71 が11月11日に公開され、脆弱性3件が修正されました。HTTP/2 を扱う mod_http2 の1件は深刻度が最も高い critical です。2.4.55〜2.4.70 で Web サーバーを動かしている会社は更新してください。

## 脆弱性の概要

| 項目 | 内容 |
| --- | --- |
| 対象 | Webサーバー |
| 深刻度 | 緊急 |
| CVSS | 公表なし |
| 悪用 | 確認されていない |
| 影響 | 遠隔でコード実行のおそれ |
| 修正版 | 修正版あり |
| 公表元 | Apache / JVN |

### 影響を受ける製品

| 製品 | 対象のバージョン | 修正版 |
| --- | --- | --- |
| Apache HTTP Server（CVE-2026-119618、mod_http2） | 2.4.55〜2.4.70 | 2.4.71 |
| Apache HTTP Server（CVE-2026-106023、mod_md） | 2.4.30〜2.4.70 | 2.4.71 |
| Apache HTTP Server（CVE-2026-109163、mod_vhost_alias） | 2.4.69、2.4.70 | 2.4.71 |

## やること

Apache Software Foundation は11月11日、Web サーバーソフトの Apache HTTP Server 2.4.71 を公開し、脆弱性3件を修正しました。このうち HTTP/2 の通信を扱う部品 mod_http2 の1件（CVE-2026-119618）は、開発元の評価が4段階で最も高い critical で、遠隔からのコード実行につながるおそれがあります。JVN も11月12日にこの更新を伝えました。

自社で Apache を動かしている会社は、バージョンを確かめ、2.4.55〜2.4.70 であれば 2.4.71 へ更新してください。開発元は公開の告知で、これまでのすべての版の利用者に 2.4.71 への更新を勧めています。

バージョンはサーバーで `httpd -v`（Debian や Ubuntu では `apache2 -v`）を動かすと表示されます。mod_http2 を読み込んでいるかどうかは、`apachectl -M` の一覧に `http2_module` があるかで分かります。

## OS のパッケージで入れている場合

Debian や Ubuntu、Red Hat 系の OS では、Apache を OS のパッケージで入れていることがほとんどです。こうした OS はバージョンの番号を上げずに修正だけを取り込むことがあります。そのため `apache2 -v` の表示だけでは修正済みかどうかを判断できず、パッケージのバージョンを配布元のセキュリティ情報と比べることになります。

Debian のセキュリティ情報では11月12日の時点で、bookworm（2.4.68 系）と trixie（2.4.68 系、セキュリティ更新は 2.4.69 系）がどちらも CVE-2026-119618 の影響を受ける状態と表示されています。修正済みになっているのは開発版の sid（2.4.71-1）だけです。bookworm や trixie を使っている会社は、修正のパッケージが出たらすぐ入れられるよう、更新の手順と再起動の時間帯を決めておいてください。ほかの OS はそれぞれの配布元の情報で確かめます。

## 3件の脆弱性の違い

CVE-2026-119618 は mod_http2 の中でヘッダーを組み立てる処理（`assign_headers`）の欠陥です。複数の処理が同じメモリーを同時に使うときの排他が足りず、メモリーの内容がおかしくなって、遠隔からコードを実行されるおそれがあります。対象は 2.4.55〜2.4.70 です。GitHub で配られている単体版の mod_h2 では 2.0.8〜2.0.42 が対象です。Anthropic の OSS Scanner が10月26日に、Google Cloud の脆弱性調査チームの2人が11月3日に、それぞれ開発元へ報告しました。

CVE-2026-106023 は証明書の取得と更新を自動で行う部品 mod_md の欠陥です。リクエストの処理中に NULL ポインターを参照して子プロセスが落ちる問題で、深刻度は上から2番目の important です。対象は開発元のページでは 2.4.30〜2.4.70 ですが、CVE の登録情報の説明文は 2.4.69 までと書いていて、書き方が合っていません。2.4.70 も対象として扱ってください。

CVE-2026-109163 は仮想ホストを大量に扱うための部品 mod_vhost_alias で、スタック上のバッファーを1バイトはみ出して書き込む欠陥です。深刻度は low で、対象は 2.4.69 と 2.4.70 だけです。2.4.69 で同じ部品の別の脆弱性を直したあとに残っていた問題だと説明されています。2.4.69 の修正は [Apache httpdに20件の脆弱性、最大CVSS 9.8で更新を](/articles/2026-10-01-apache-httpd-2-4-69/) にまとめています。

## 攻撃の条件と悪用の状況

mod_http2 の1件について、開発元のページは攻撃者のログインが要るかどうかや、設定の条件を書いていません。CVSS の値も CVE の登録情報に11月12日の時点で載っておらず、回避策の記載もありません。この欠陥は mod_http2 の中にあるので、mod_http2 を読み込んでいないサーバーではこの部品は動いていませんが、残る2件があるので更新の対象であることは変わりません。

悪用されたという記載は開発元のページにも JVN にもありません。CISA の悪用済み脆弱性の一覧（KEV）にも、11月12日昼の時点で3件とも載っていません。

## 中小企業が学べること

会社のホームページや予約の受け付けを動かしている Web サーバーは、作ったときの担当者や制作会社しか中身を知らないことがあります。Apache のバージョン、OS の種類、更新をする人の3つを1枚にまとめておくと、今回のような更新のたびに確かめる先がすぐ分かります。

制作会社やレンタルサーバーに任せている場合は、契約に OS やミドルウェアの更新が入っているかを確かめてください。入っていなければ、更新の作業を誰がいつするのかを今回の件で決めておきます。

## 自社で確かめること

1. **Apache のバージョン**：自社のサーバーで `httpd -v` か `apache2 -v` を動かし、2.4.55〜2.4.70 に入っていないかを見てください。OS のパッケージで入れた場合は、パッケージのバージョンを配布元の情報と比べます。
2. **HTTP/2 を使っているか**：`apachectl -M` の一覧に `http2_module` があれば、mod_http2 が読み込まれています。あるサーバーから先に更新の予定を立ててください。
3. **サーバーを任せている先**：レンタルサーバーや制作会社に Web サーバーを任せている会社は、2.4.71 相当の修正をいつ入れるのかを問い合わせてください。

## 出典

- [Apache HTTP Server「Apache HTTP Server 2.4 vulnerabilities」](https://httpd.apache.org/security/vulnerabilities_24.html)
- [JVN「JVNVU#90805396 Apache HTTP Server 2.4における複数の脆弱性に対するアップデート（2026年11月11日）」](https://jvn.jp/vu/JVNVU90805396/index.html)
- [Apache HTTP Server「Apache HTTP Server 2.4.71 Released」](https://downloads.apache.org/httpd/Announcement2.4.html)
- [Apache HTTP Server「CHANGES_2.4.71」](https://downloads.apache.org/httpd/CHANGES_2.4.71)
- [CVE Program「CVE-2026-119618」](https://cveawg.mitre.org/api/cve/CVE-2026-119618)
- [Debian Security Tracker「CVE-2026-119618」](https://security-tracker.debian.org/tracker/CVE-2026-119618)