要点
- Apache HTTP Server の HTTP/2 機能に、ログイン不要で外からサーバーの中身を乗っ取られうる重大な欠陥が見つかった。
- 対象は 2.4.55 から 2.4.70 までで、HTTP/2 を有効にしているサーバーだ。修正版は 2.4.71 である。
- 実際の攻撃は、今のところ公的な発表では確認されていない。ただし、攻撃の実証があったとする情報もあり、早めの更新が要る。
何が起きたか
Apache Software Foundation は 2026年11月11日、Apache HTTP Server 2.4.71 を公開した。この版で直したのが、HTTP/2 を扱う部品 mod_http2 の欠陥 CVE-2026-119618 だ。Apache の advisory（注意喚起）は重大度を最も高い「critical」としている。
欠陥は、複数の処理が同時に動くときの扱いの誤りにある。メモリが壊れ、結果としてサーバー上でコードを実行されるおそれがある。相手は認証を受けていない第三者でよいとされる。
報告したのは、Anthropic の OSS Scanner と、Google Cloud Vulnerability Research の Anthony Weems 氏、Simon Scannell 氏だ。Apache の記載では、Anthropic 経由の報告は10月26日、Google 経由は11月3日である。
悪用の状況は、情報源で食い違う。Apache の advisory は悪用について何も書いていない。セキュリティ企業 Wiz は、攻撃コードは出回っておらず、実際の悪用の報告もないとしている。一方 Red Hat は、公開された研究が確実に動く攻撃を示したと評価している。ただし、その研究が何かは示されていない。これは確かめられていないので、「実際に攻撃されている」とは言えない。
日本の利用者への影響
自社で Apache を動かしている場合は、版と HTTP/2 の設定を確かめたい。レンタルサーバーやクラウドで使っている場合は、事業者が更新するかどうかを確かめる。Linux の配布元が出す版は番号が独自のことがある。「2.4.71 かどうか」だけでなく、配布元の案内も見る必要がある。
今すぐやること
- 自社や委託先で Apache HTTP Server を使っているかを洗い出す。見落としやすい社内システムや古いサーバーも含める。
- 使っているなら版を確かめる。2.4.55〜2.4.70 なら対象の可能性がある。
- HTTP/2 を有効にしているかを確かめる。確認方法は下の「技術者向けの詳細」に書いた。
- 2.4.71、または配布元が出した修正入りの版に更新する。
- すぐに更新できないなら、Wiz が勧める回避策として、HTTP/2 を止めて HTTP/1.1 だけにする。Apache の advisory には回避策の記載がないので、あくまで暫定の策だ。
背景
mod_http2 は、今年に入ってから欠陥が続いている。5月には別の欠陥 CVE-2026-23918 が 2.4.67 で直された。Apache の評価は important だ。今回の欠陥は、その後の 2.4.67〜2.4.70 を使っていた人も対象になる。
HTTP/2 は、1本の接続で多くの要求を同時に送れる仕組みだ。複雑な処理を多く含むため、欠陥が見つかりやすい部品でもある。なお、GitHub で公開されている単体版の mod_h2 も影響を受ける。この単体版はリポジトリが2026年6月9日に保管庫化され、更新されないと報じられている。この点は一次情報では確かめきれていない。使っている場合は Apache 本体の更新を優先したい。
技術者向けの詳細
- 欠陥の種類: mod_http2 の
assign_headers()における、共有資源の同期不備（競合状態）。ヒープメモリの破壊から RCE（遠隔コード実行）に至りうる。 - 影響版: Apache HTTP Server 2.4.55〜2.4.70。GitHub の mod_h2 は 2.0.8〜2.0.42。
- 修正版: Apache HTTP Server 2.4.71（2026-11-11 リリース）。
- mod_h2 の修正版は、情報源で記述が食い違う。公式情報で確認すること。
- 重大度: Apache は critical。Red Hat は CVSS 9.8 としつつ、RHEL 9・10 は Important と評価している。RHEL 8 以前は対象外と記載されている。
- 有効かの確認（Debian 系）:
apache2ctl -M | grep -i http2
apache2ctl -v
grep -Ri "Protocols" /etc/apache2/
- 有効かの確認（RHEL 系）:
httpd -M | grep -i http2
httpd -v
grep -Ri "Protocols" /etc/httpd/
Protocolsにh2やh2cが入っていれば、HTTP/2 が有効だ。- 暫定の回避策（Wiz の案内）:
Protocols http/1.1とし、h2とh2cを外す。変更後に設定を再読み込みする。 - Red Hat は、HTTP/1.1 だけを提供するサーバーは影響を受けないとしている。
- 配布元のパッケージは版の番号が独自のことがある。各社の案内（Red Hat の RHSA、Debian のトラッカーなど）で確認すること。
- 詳細は、下記の Apache advisory を参照。
