ウェブサーバーソフト「Apache HTTP Server」を開発するApacheソフトウェア財団は11月11日、2.4系の脆弱性3件を修正した2.4.71を公開した。このうち、HTTP/2という通信方式を処理する部品「mod_http2」の欠陥について、開発元は4段階の深刻度で最も重い「critical」と評価し、外部から任意のコードを実行されるおそれがあるとした。対象は2023年1月に公開した2.4.55から2.4.70まで。開発元がこの評価を付けたのは2021年10月以来となる。脆弱性情報サイトJVNも12日に掲載し、開発元の情報を参照するよう呼びかけた。
HTTP/2の処理で、メモリーが壊れる
最も深刻な欠陥（CVE-2026-119618）は、mod_http2の中で通信のヘッダー（付帯情報）を割り当てる処理に潜んでいた。開発元とCVEの記録によると、複数の処理が同じ資源を同時に扱う際の同期が不十分で、メモリーのうち動的に確保する領域（ヒープ）が壊れ、遠隔からのコード実行につながるおそれがある。
影響を受けるのはApache HTTP Serverの2.4.55から2.4.70まで。同じ部品を単体で配布している「mod_h2」も、GitHubで公開している2.0.8から2.0.42までが対象になる。
開発元の公開資料によると、最初の報告は10月26日で、米Anthropicの「OSS Scanner」によるもの。続いて11月3日にグーグルのクラウド部門の脆弱性研究チームの2人も報告した。修正は11月11日に2.4系へ取り込まれ、同じ日に2.4.71が公開された。最初の報告から修正版の公開まで16日だった。
開発元の一覧には、この欠陥がすでに攻撃に使われたかどうかの記載は無い。CVEの記録には、共通の評価基準による点数も付いていない（13日時点）。
「critical」はワームに使われうる水準
Apache HTTP Serverの開発元は、脆弱性を「critical」「important」「moderate」「low」の4段階で評価している。開発元の基準では、criticalは遠隔の攻撃者がApacheに任意のコードを実行させうるもので、サーバーを動かす利用者の権限か、管理者（root）の権限で実行される。開発元は「ワームによって自動的に悪用されうる種類の脆弱性」と説明している。
その次のimportantは、データの侵害やサーバーの停止につながるもので、攻撃の手間に見合わない規模で簡単にサービスを止められる欠陥や、公開領域の外にあるファイルを読める欠陥が当たる。
2.4系の脆弱性一覧で、criticalの評価が付いたのは今回を含めて3件だけだ。前の2件は2021年10月で、2.4.49のパスの扱いの誤りによる情報漏えい（CVE-2021-41773）と、その修正が不完全だったことによる2.4.49・2.4.50のコード実行（CVE-2021-42013）だった。
有効にするのは設定次第、対象の版は3年近く
mod_http2は、HTTP/1.1の後継の通信方式であるHTTP/2をApacheで使えるようにする部品で、2.4.17から備わっている。開発元の文書によると、機能を使うには設定の「Protocols」でHTTP/2を有効にする必要がある。暗号化した通信で使う「h2」と、暗号化しない通信で使う「h2c」の2つの方式があり、文書は「Protocols h2 http/1.1」のような設定例を示している。
裏を返せば、Protocolsの設定でHTTP/2を有効にしていなければ、この部品の機能は使われない。ただ、対象の始まりとなる2.4.55は2023年1月17日の公開で、以後3年近くの版がすべて当てはまる。HTTP/2を有効にして運用しているサイトは、版を確かめる必要がある。
開発元は公式サイトで、2.4.71を「2.4系の安定版として最良の版」と位置づけている。2.4.71では今回の3件のほか、mod_http2が「OPTIONS *」形式の要求を不正な形として拒んでいた不具合や、特定の設定と記録の組み合わせで異常終了する不具合も直した。
証明書の自動更新と、仮想ホストの部品にも欠陥
残る2件のうち、深刻度importantの欠陥（CVE-2026-106023）は、部品「mod_md」で通信を処理する際、無効な参照（ヌルポインター）をたどってしまうもの。Apacheの子プロセスが異常終了する。開発元の一覧では2.4.30から2.4.70が対象で、9月29日に「360 Vulnerability Research Institute」の研究者らが最初に報告していた。
mod_mdは、暗号化通信に使うTLS証明書の取得と更新を、ACMEという取り決めに沿って自動で行う部品で、既定の発行元は無料の認証局「Let's Encrypt」になっている。開発元の文書では、位置づけはまだ「実験的」とされている。
深刻度lowの欠陥（CVE-2026-109163）は、部品「mod_vhost_alias」で、スタックと呼ぶメモリー領域に1バイトだけ書き込みがはみ出すもの。対象は2.4.69と2.4.70に限られる。
mod_vhost_aliasは、要求に含まれるホスト名などをもとに配信するファイルの置き場所を決め、似た設定の仮想ホストを大量に扱えるようにする部品だ。この部品では10月1日公開の2.4.69で、8192バイトを超えるホスト名で遠隔からサーバーを止めたり、コードを実行させたりできるおそれのある欠陥（CVE-2026-63292、深刻度moderate）を直していた。ホスト名を置き場所の指定に使う設定で、要求ヘッダーの長さの上限を既定より引き上げている場合に限られていた。今回の1件は、その修正の後に残っていた不具合として報告された。
1年で5回の修正版、10月は20件
開発元の一覧によると、2.4系はこの1年で5回、脆弱性を直した版を出している。2025年12月の2.4.66で5件、2026年5月の2.4.67で11件、6月の2.4.68で13件、10月の2.4.69で20件、そして今回の2.4.71で3件を直した。
Apache HTTP Server 2.4系の修正版ごとの脆弱性件数（件）
数値で見る（単位: 件）
| 項目 | 件 |
|---|---|
| 2.4.66 | 5 |
| 2.4.67 | 11 |
| 2.4.68 | 13 |
| 2.4.69 | 20 |
| 2.4.71 | 3 |
件数は今回が少ないが、10月の20件はすべてmoderateかlowで、2.4.68の13件、2.4.66の5件も同じだった。2.4.67はimportantが1件含まれていた。criticalを含む修正版は、この5回で今回だけになる。
ウェブ上の基盤ソフトの欠陥は、この秋に相次いでいる。10月には、HTTP通信のデータ圧縮に使われるソフトの欠陥が攻撃に使われたことを米政府が確認した（圧縮ソフトBrotliの脆弱性「HTTP2Shell」 米政府が悪用確認、Node.jsやLinuxも更新を）。11月には、ApacheでPHPを動かす部品も対象になる欠陥について、情報処理推進機構（IPA）が注意を呼びかけた（PHPの深刻な欠陥「PHP2shell」 IPA、VPN機器など組み込み製品も更新を）。
今回のApacheの欠陥について、JVNは開発元の情報を参照するよう求めるにとどめ、独自の深刻度は示していない。13日0時時点で、JPCERTコーディネーションセンターの注意喚起と、IPAの重要なセキュリティ情報の一覧に、Apache HTTP Serverの項目は無い。
開発元が配るのはソースコードで、LinuxなどのOSに含まれるApacheを使う環境では、OSの配布元の更新情報もあわせて確かめる必要がある。