Apache HTTP Server ― HTTP/2処理に認証不要のRCE脆弱性

要点

影響を受けるもの

Apache HTTP Server 2.4.55〜2.4.70で、HTTP/2（Protocolsにh2またはh2c）を有効にしているサーバー。GitHubで配布されていた単体版mod_h2の2.0.8〜2.0.42も対象（Apache: Apache HTTP Server 2.4 vulnerabilities）。
HTTP/1.1だけで動かしているサーバーは影響を受けない（Red Hat CVE-2026-119618）。

今すぐやること

2.4.71、またはディストリビューションの修正済みパッケージに更新する。
すぐ更新できないサーバーは、Protocols http/1.1 にしてHTTP/2を止める。

何が起きているか

事実（Apache、Red Hat）

Apache HTTP Serverプロジェクトは2026年11月11日、2.4.71を公開し、3件の脆弱性を修正した。最も重いCVE-2026-119618（Apacheの評価はcritical）は、mod_http2のassign_headers()での同期不足（CWE-362）で、RCEにつながるとしている（Apache）。
報告者はAnthropicのOSS Scanner（10月26日報告）と、Google Cloud Vulnerability ResearchのAnthony Weems氏・Simon Scannell氏（11月3日報告）で、別々に見つけた（Apache）。
Red Hatの説明では、HTTP/2で同時に届く複数のリクエストを別スレッドで処理する際、ワーカースレッドが接続スレッドのメモリに、ロックのない共有アロケーター経由で書き込んでしまい、ヒープが壊れる。サーバーに届く攻撃者なら認証なしで任意のコマンドを実行できるおそれがある。Red HatはCVSS 3.1を9.8（AV:N/AC:L/PR:N/UI:N）とし、「公開された研究で既定設定のサーバーに対する確実な攻撃が実証された」としているが、その研究の名前やリンクは示していない（Red Hat）。
Red Hat Enterprise Linux 9・10のmod_http2はHTTP/2のストリームごとに別のアロケーターを使うため攻撃が難しく、重大度をImportantとしている。mod_http2 2.0.8より前には該当コードがなく、RHEL 8以前は影響を受けない（Red Hat）。

事実（研究者・各機関の報告）

11月12日、第三者がヒープ破壊を再現する検証コード（PoC）をGitHubで公開した。2.4.70で破壊を再現し、2.4.71では起きないことを示すもので、コード実行までは示していない（Horizon3.ai）。
英NHS England Digitalは11月12日に注意喚起を出し、PoCの公開を受けて悪用の可能性が高いと評価した（NHS England Digital CC-4892）。
この記事を書いた時点（11月13日）で、実際の攻撃での悪用は報告されておらず、CISA KEVにも入っていない。

同じ2.4.71では、mod_mdのNULLポインター参照によるプロセス停止（CVE-2026-106023、important、2.4.30〜2.4.70）と、mod_vhost_aliasの1バイトのスタック書き込み（CVE-2026-109163、low、2.4.69〜2.4.70）も修正された（Apache）。

影響を受ける製品・バージョン

製品	影響を受ける版	修正版
Apache HTTP Server（HTTP/2有効時）	2.4.55〜2.4.70	2.4.71
mod_h2（GitHub配布の単体版）	2.0.8〜2.0.42	修正版の記載なし（Apache本体の修正版へ移行）
Red Hat Enterprise Linux 9・10のhttpd	影響あり（重大度Important）	Red Hatの修正パッケージ
Red Hat Enterprise Linux 8以前	影響なし	―

（Apache、Red Hat。他のディストリビューションは各社の勧告で確認する）

修正版・回避策

修正：Apache HTTP Server 2.4.71に更新する。ディストリビューションのパッケージを使っている場合は、各社が出す修正済みのhttpd・apache2・mod_http2パッケージを適用する（Apache、Red Hat）。
回避策：Apacheの勧告に回避策の記載はない。HTTP/2を有効にしているサーバーだけが影響を受けるため、Protocols http/1.1 としてHTTP/2を止めれば、更新までの間は影響を避けられる。サーバー全体の設定と、Protocolsを個別に書いている各バーチャルホストの両方で変え、再起動して反映する（Red Hat、Horizon3.ai）。

今すぐやること

運用中のApacheの版（httpd -vなど）と、Protocolsにh2・h2cが入っているかを確認する。リバースプロキシや機器の管理画面に組み込まれたApacheも対象に含める。
2.4.55〜2.4.70でHTTP/2が有効なら、2.4.71または修正済みパッケージにすぐ更新する。
更新まで時間がかかるサーバーは、HTTP/2を止めてHTTP/1.1だけにする。
単体版mod_h2を使っている環境は、Apache本体のmod_http2に切り替える。
Apacheのワーカープロセスの異常終了（segfault）が急に増えていないか、エラーログを確認する。

考察

「既定でオフ」でも油断できない: HTTP/2はApacheの既定では無効だが、性能のために有効にしている環境は多い。設定を確かめないまま「既定設定だから大丈夫」と判断するのは危ないと考える。
PoCが出たので時間の問題: 公開されたPoCはヒープ破壊の再現までだが、Red Hatは既定設定での確実な攻撃が実証済みと書いている。悪用が始まる前に更新を済ませられるかどうかが分かれ目になりそうだ。
AIによる発見と人による発見が重なった: AIを使った探索と専門チームが、同じ脆弱性を1週間ほどの差で別々に見つけた。攻撃者側も同じように見つけられると考えて、修正の公開から攻撃までの時間は短くなると見ておくのが安全だ。

出典

原文をGitHubで読む ↗