Apacheは、認証なしでリモートコード実行（RCE）を可能にする可能性があるHTTPサーバーの重大な脆弱性を修正しました。この脆弱性は、AnthropicとGoogleの研究者によって独立して報告されました。
HTTP/2モジュールの脆弱性
CVE-2026-119618として登録されたこの脆弱性は、Apache HTTP Serverのバージョン2.4.55から2.4.70に影響します。11月11日にリリースされたバージョン2.4.71で修正されました。この脆弱性は、ブラウザとサーバー間の通信プロトコルであるHTTP/2トラフィックを処理するモジュールであるmod_http2に存在します。
この脆弱性は、複数のプロセスが不適切に同じ共有リソースにアクセスする状況である競合状態（「race condition」）に基づいており、サーバーのメモリを破損させる可能性があります。Red Hatによると、攻撃者はこの欠陥をリモートから、認証なしで悪用し、任意のコマンドを実行してサーバープロセスを乗っ取る可能性があります。同社はCVSSスコアを10段階中9.8と評価しています。Red Hatは、「HTTP/2が有効になっているサーバーのみが影響を受け、HTTP/1.1のみを提供するように設定されたサーバーは脆弱ではない」と説明しています。
独立した報告と注意点
Apacheは、10月26日にこの脆弱性を報告したAnthropicのOSSスキャナーを評価しました。Google Cloud Vulnerability ResearchのAnthony WeemsとSimon Scannellは、11月3日に同じ脆弱性を独自に報告しました。
一方、クラウドセキュリティ企業のWizは、そのデータにおけるクラウド環境の64％が影響を受けるバージョンのApacheを実行するリソースを含んでおり、51％が公開されたインスタンスを含んでいると指摘しています。ただし、Wizは警告しています：これらの数字はサーバーの設定を考慮しておらず、必ずしも悪用可能なインストールに対応するものではありません。Wizによると、11月11日にブログ記事が公開された時点で、エクスプロイトは利用可能ではなく、実際の悪用も報告されていませんでした。
Red Hatは、公開された研究がmod_http2が有効なサーバーに対する信頼性のあるエクスプロイトの存在を示していると主張していますが、そのセキュリティアドバイザリはこれらの研究を特定していません。GitHubで公開された概念実証は、メモリ破損とApacheプロセスのクラッシュの再現を報告していますが、リモートコード実行は実証していません。
Apacheは、バージョン2.4.71またはディストリビューション提供者から提供されるパッケージをインストールすることを推奨しています。更新をすぐに展開できない場合は、HTTP/2を無効にすることで一時的に悪用を防ぐことができます。別の警告では、WordPressのセキュリティ更新ではこの問題を解決できないと強調されています。なぜなら、この脆弱性は基盤となるウェブサーバーに影響するためです。
バージョン2.4.71は、他にも2つの脆弱性を修正しています：サーバープロセスクラッシュを引き起こす可能性がある重要と評価されたCVE-2026-106023と、スタックバッファオーバーフローである低深刻度のCVE-2026-109163です。
