Apache HTTP Serverを運用している管理者は、HTTP/2の設定と更新状況を確認してください。2026年11月11日、認証なしで遠隔コード実行（RCE）につながり得る重大な脆弱性「CVE-2026-119618」が公表され、修正版のApache HTTP Server 2.4.71が公開されました。
影響するのは主に、Apache HTTP Server 2.4.55～2.4.70で、HTTP/2対応モジュール「mod_http2」を利用する環境です。外部公開サイトやリバースプロキシ、社内システムなどで該当する可能性があります。すべてのApacheサーバーが一律に攻撃可能という意味ではありません。
本記事はApache公式の脆弱性情報、Red Hatの技術説明、Apache公式設定資料を照合し、対象確認から更新・暫定対策まで整理しました。確認時点：2026年11月12日（日本時間）。
Apache HTTP Serverの対象バージョンと修正版
| 項目 | 確認結果 |
|---|---|
| 脆弱性番号 | CVE-2026-119618 |
| 深刻度 | Critical（Apache公式の評価。公式ページにCVSS数値の記載なし） |
| 原因となる機能 | mod_http2のassign_headers()における並行処理・同期不備 |
| 影響バージョン | Apache HTTP Server 2.4.55～2.4.70 |
| 単独配布mod_h2 | GitHub版2.0.8～2.0.42 |
| 修正版 | 2.4.71（2026年11月11日公開） |
| 今すべきこと | 利用版数、mod_http2、Protocols設定を確認し、修正版へ更新 |
Apacheはメモリ破損による遠隔コード実行の可能性を公表しています。Red Hatも、HTTP/2を有効にした環境では認証なしで悪用され得ると説明しています。出典：Apache公式、Red Hat公式。
どのApacheが影響する？HTTP/2の有効・無効を確認
今回の問題は、HTTP/2を処理するmod_http2にあります。対象バージョンでも、HTTP/1.1のみを受け付ける構成についてRed Hatは影響を受けないと説明しています。一方、h2（HTTPS上のHTTP/2）またはh2c（平文HTTP/2）を有効にしていれば、確認を急ぐ必要があります。
| 環境 | 判断の目安 |
|---|---|
| 2.4.55～2.4.70でHTTP/2を使用 | 優先対処 |
| 同じ版でもHTTP/1.1のみ | 今回のmod_http2脆弱性の経路は対象外。ただし他の脆弱性の対策は必要 |
| Apache 2.4.71 | 今回の修正が含まれる |
| OS配布のhttpd/apache2 | バックポートされる場合があり、版数だけでなくOSベンダーのCVE情報も確認 |
| CDNやロードバランサー経由 | 外部から見えるHTTP/2とApache本体で処理するHTTP/2を区別 |
仕組み：HTTP/2の並行処理で共有メモリが破損
HTTP/2は一つの接続で複数の要求（ストリーム）を並行処理できます。今回の問題は、その処理で共有されるメモリ領域の同期が不適切なことです。assign_headers()付近で別の処理の使用中にメモリを書き換えると、内部データが壊れ、条件によって任意のコード実行へつながる可能性があります。
| 処理 | 問題が起こる部分 |
|---|---|
| 1．HTTP/2の要求が届く | 認証前の通信でも処理が始まる可能性 |
| 2．mod_http2で並行処理 | 複数の処理が共有リソースを使用 |
| 3．同期が不適切 | メモリ領域の整合性が崩れる |
| 4．悪用が成立 | サーバープロセスの停止やコード実行につながる恐れ |
Red Hatは認証なしのRCEが可能と評価し、公開研究でデフォルト構成の環境への信頼性の高い攻撃が示されたとしています。ただし、研究による再現と実際の侵害発生は別です。11月12日現在、実際の国内被害件数は確認できていません。コード実行が成立した場合も、直ちにroot権限を得るとは限らず、サーバープロセスの権限によって影響が異なります。
管理者向け：自分のサーバーが対象か確認する方法
1．Apacheのバージョンを確認
サーバーに管理者として接続し、Debian・Ubuntu系ではapache2 -v、RHEL・Rocky Linux系ではhttpd -vなどを実行します。環境によりapachectl -vも利用できます。2.4.55～2.4.70なら次の項目を調べてください。
ただしOS提供元のパッケージには、上流の版数を維持したまま修正を取り込む「バックポート」があります。数字だけで未修正と決めつけず、ディストリビューションのCVE対応情報も確認してください。
2．mod_http2がロードされているか
Debian・Ubuntu系はapache2ctl -M、RHEL系はhttpd -Mなどで読み込み済みモジュールを一覧表示できます。http2_moduleが含まれるか確認します。ロードされていてもHTTP/2が実際に有効とは限りません。
3．HTTP/2の設定を確認
HTTP/2に対応する通信がApache本体に届くか、サーバーの設定ファイルと通信経路を確認します。CDNなどの中継機器を利用している場合、WebブラウザとApacheが同じ通信方式とは限りません。
修正方法：Apache 2.4.71へ更新する
Apache HTTP Serverプロジェクトは2026年11月11日に2.4.71を正式公開し、以前のバージョンからの更新を推奨しています。ソースから導入した環境では公式リリースを、OSパッケージで導入した環境ではOSベンダーの修正パッケージを適用してください。
- Linuxのパッケージ版：配布元のセキュリティアドバイザリでCVE対応を調べて更新する
- ソース導入：2.4.71への更新とモジュールの互換性を確認する
- コンテナ：修正済みのイメージに切り替えて再デプロイする
- 共用サーバー：管理会社にCVE番号と対応状況を問い合わせる
本番更新では設定をバックアップし、事前検証後にサービスを再起動・リロードして接続やログを確認します。公式リリース情報：2.4.71 Released。
すぐに更新できない場合の暫定対策
HTTP/2を利用している場合、暫定的にHTTP/1.1のみを受け付ける設定への切り替えを検討できます。ApacheのProtocolsディレクティブで、対象のサーバーやVirtualHostにProtocols http/1.1を指定する方法です。
これはApacheの脆弱性告知で個別に推奨された回避策ではなく、公式設定仕様から判断した緩和策です。すべてのVirtualHostと通信経路を確認し、変更後はapachectl -tなどで構文を検証して設定を反映してください。
HTTP/2の停止によって性能やアプリケーションの動作が変わる可能性があります。ロールバック手順を用意し、動作確認を行ってください。恒久対策は修正版の適用であり、暫定策だけで更新不要とはなりません。
悪用されたかはログから分かる？
今回のCVEを確実に特定できるアクセスログ上の特徴や検知ルールは、確認したApache公式発表には記載されていません。異常なプロセス終了、不審な子プロセスの起動、想定外のファイル変更、監査ログやEDRの検知などを総合的に調べます。
HTTP/2通信が記録されているだけで攻撃と断定できず、ログに異常がないことだけで侵害を否定することもできません。確認時点で国内被害件数と実際の悪用規模は未確認です。
2.4.71では別の2件も修正
| CVE | 重大度 | 概要 |
|---|---|---|
| CVE-2026-119618 | Critical | mod_http2のRCE。2.4.55～2.4.70 |
| CVE-2026-106023 | Important | mod_mdのNULLポインタ参照によるプロセス停止。2.4.30～2.4.70 |
| CVE-2026-109163 | Low | mod_vhost_aliasの1バイトのスタック上書き。2.4.69～2.4.70 |
よくある質問
サイトを閲覧するだけでPCが感染するのですか？
今回の問題はWebサーバー側の脆弱性です。サイトを閲覧しただけで利用者のPCやスマートフォンが直ちに乗っ取られるという意味ではありません。利用者はサービス運営者の公式情報を確認してください。
Apache 2.4.69や2.4.70は安全ですか？
いいえ。どちらも今回の影響範囲です。Apache 2.4.71または利用OSが提供する修正済みパッケージの適用を確認してください。
HTTP2Shellと同じ問題ですか？
別の脆弱性です。HTTP2Shell（CVE-2026-111497）はBrotliのデータ展開処理、今回はApacheのmod_http2のメモリ同期処理に関する問題です。
まとめ：版数・HTTP/2設定・修正状況を確認
Apache 2.4.55～2.4.70でHTTP/2を利用している管理者は更新を急いでください。バージョン、読み込みモジュール、Protocols設定と通信経路を確認し、修正版を適用します。
出典・更新履歴
- Apache公式：2.4脆弱性情報
- Apache公式：2.4.71リリース（11月11日）
- Red Hat公式：CVE-2026-119618
- Apache公式：mod_http2
- Apache公式：httpdコマンド
- Apache開発者による告知
一次情報確認・初版：2026年11月12日（日本時間）。記載したコマンド例について実機検証は行っていません。
