2026年11月11日にリリースされたApache HTTP Server 2.4.71は、3件のセキュリティ上の欠陥を修正しました。このうち1件は、リモートコード実行につながるおそれのあるHTTP/2のメモリ破損の問題で、深刻度は「Critical(重大)」です。
最も深刻な欠陥はCVE-2026-119618として追跡されており、mod_http2のassign_headers()関数に影響します。今回のリリースでは、深刻度「Important(重要)」のmod_mdにおけるNULLポインタ参照や、深刻度「Low(低)」のmod_vhost_aliasにおけるスタックバッファ上書きも修正しています。
3件の修正は、並行処理でのリソースアクセス、リクエスト処理、メモリ安全性という異なる障害モードを扱っており、対象となるApacheのモジュールや影響を受けるリリースの範囲もそれぞれ異なります。
CVE-2026-119618の原因は、assign_headers()内で共有リソースを適切な同期処理なしに並行して実行していることです。Apacheは、セキュリティへの影響として、ヒープ破損とリモートコード実行の可能性を挙げています。
影響を受けるのはApache HTTP Server 2.4.55から2.4.70までです。これとは別にGitHubで配布されているmod_h2のリリース2.0.8から2.0.42も影響を受けます。
HTTP/2のストリームリセットによるサービス拒否(DoS)攻撃とは異なり、この問題はサービスの中断にとどまらず、コード実行にまで至る可能性があります。
Apacheのアドバイザリには、攻撃コードのペイロード、認証の要否、この状態を引き起こすための具体的な手順は記載されていません。
この問題は、AnthropicのOSS Scannerが追跡ID ANT-2026-MAPKT6MZとして特定し、2026年10月26日にApacheのセキュリティチームへ報告しました。
Google Cloud Vulnerability ResearchのAnthony Weems氏とSimon Scannell氏も、独自にこの問題を発見したとして謝辞を受けています。Googleは11月3日に報告しました。
Apacheは11月11日、コミット824beab9b9424d6cfb29595248fdbf6c3dddeab1で2.4.xブランチを修正しました。
Apacheでは、これまでにもHTTP/2のメモリ管理に関する欠陥が確認されています。ただし今回の公開情報が指摘しているのは、ヘッダー割り当て処理における不適切な同期です。過去に報告されたリソース枯渇やuse-after-freeの問題と混同しないよう注意が必要です。
深刻度「Important」のCVE-2026-106023は、Apache HTTP Server 2.4.30から2.4.70までのmod_mdに影響します。HTTPリクエストの処理中にNULLポインタ参照が発生し、子プロセスがクラッシュする可能性があります。
Apacheは発見者として、360 Vulnerability Research Instituteのhexb1n氏、Yang Song氏、JiaSheng He氏(360 TuLongFengと協力)、およびstriga.aiのLucian Nitescu氏とBartlomiej Dmitruk氏を挙げています。
この欠陥は9月29日に報告され、コミット1b47e95c61fb9cf9b864f352c1d3bef7a2467606で修正されました。
このクラッシュの仕組みは、HTTP/2のメモリ枯渇攻撃とは異なります。どちらも可用性に関わる問題ではあります。Apacheの説明にあるのは子プロセスのクラッシュであり、リモートコード実行が実証されたわけではありません。
CVE-2026-109163は、mod_vhost_aliasにおける1バイトのスタックバッファ上書きを修正するものです。影響を受けるのはApache HTTP Server 2.4.69と2.4.70のみです。Apacheによると、この問題はCVE-2026-63292の修正後に生じたもので、深刻度は「Low」とされています。
発見者として、Gustavo Aiello氏、Charles Vosburgh氏、Wojciech Tatarski氏、Oz Kaiser氏、Daisuke Hatakeyama氏が挙げられています。報告がApacheに届いたのは10月5日です。11月11日にコミット5566851a064993eec4b2c6cb185882f627501aa6で該当ブランチが修正されました。
アドバイザリは、この限定的な上書きが実用的なコード実行の足がかりになるとも、HTTP/2の同期欠陥と同様の悪用特性を持つとも示していません。
Apache HTTP Server 2.4.71は、3件すべての修正を含むリリースです。影響を確認する管理者は、インストール済みのサーバーバージョンと、実際に導入しているモジュール(特にmod_http2、mod_md、mod_vhost_alias)を区別して評価する必要があります。
HTTP/2の重大な問題は、Apacheがリモートコード実行の可能性を明確に挙げているため、優先して対応すべきです。GitHubで別途管理されているmod_h2を導入している環境では、HTTP Serverのバージョンだけで判断せず、mod_h2自体の影響範囲を確認する必要があります。
Apacheのアドバイザリは修正内容と影響を受けるリリースを示していますが、実際に悪用されている証拠や、公開された動作する攻撃コードは示していません。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/apache-http-server-2-4-71/
