AnthropicとGoogleが発見、Apache HTTP Serverの重大なRCE脆弱性を修正

Apacheは、HTTP Serverに存在する重大な脆弱性を修正しました。この脆弱性を悪用されると、認証なしでリモートコード実行（RCE）が可能になる恐れがあります。AnthropicとGoogleの研究者が、それぞれ独立して発見しました。

この脆弱性はCVE-2026-119618として追跡されており、Apache HTTP Serverのバージョン2.4.55から2.4.70までが影響を受けます。11月11日にバージョン2.4.71がリリースされ、問題は修正されました。脆弱性は、HTTP/2トラフィックの処理を担うモジュール「mod_http2」に存在します。

問題の本質は競合状態（レースコンディション）です。複数のスレッドが共有リソースに不適切にアクセスすることで、サーバーのメモリが破損する可能性があります。 

Red Hatによると、攻撃者は認証なしでリモートからこの脆弱性を悪用し、任意のコマンドを実行してサーバープロセスを制御できる可能性があります。Red Hatはこの脆弱性にCVSSスコア9.8を割り当て、「影響を受けるのはHTTP/2を有効にしているサーバーのみです。HTTP/1.1のみを提供するよう設定されたサーバーは脆弱ではありません」と説明しています。

Apacheは謝辞で、10月26日にこの脆弱性を報告したのはAnthropicのOSS Scannerだと明らかにしました。また、Google Cloud Vulnerability ResearchのAnthony Weems氏とSimon Scannell氏も、11月3日に同じ脆弱性を独自に報告しています。

クラウドセキュリティ企業のWizは、同社が保有するデータで、クラウド環境の64％に影響を受けるバージョンのApacheを実行するリソースが含まれ、51％には外部に公開されたインスタンスがあると報告しました。ただし同社は、これらの数値にはサーバーの設定が反映されていないため、実際に悪用可能な環境の割合を示すとは限らないと注意を促しています。

Red Hatは、mod_http2を有効にしたサーバーに対する確実なエクスプロイトが、公開された研究で実証されていると説明しています。ただし、同社のアドバイザリーでは、その研究が具体的に何を指すのかは明らかにされていません。

Wizによると、11月11日にブログを公開した時点では、エクスプロイトは確認されておらず、実環境での悪用の報告もありませんでした。

GitHubで公開されている概念実証コード（PoC）は、メモリ破損とApacheプロセスのクラッシュを再現できたとしていますが、リモートコード実行は実証していません。

組織には、Apache HTTP Server 2.4.71、またはベンダーが提供するパッケージの適用が推奨されています。更新をすぐに適用できない場合は、HTTP/2を無効にすることで、一時的に悪用を防げます。

Defiantも、この問題はWordPressの基盤となるウェブサーバーに起因するため、WordPressのセキュリティ更新では解決できないと警告しています。

Apache HTTP Server 2.4.71では、ほかにも2件の脆弱性が修正されました。1件はサーバープロセスをクラッシュさせる恐れがある重要度「important」のCVE-2026-106023、もう1件は重要度の低いスタックバッファオーバーフローのCVE-2026-109163です。