Apache HTTP ServerのHTTP/2モジュールに重大な脆弱性が見つかりました。認証なしの攻撃者が悪用すれば、リモートコード実行（RCE）に至る恐れがあります。
Apache Software Foundationはすでにこの問題を修正しており、脆弱性は「CVE-2026-119618」として追跡されています。しかし、公開インターネットから到達可能で、脆弱な状態にあるサーバーは少なくありません。
この脆弱性は、AnthropicのOSS ScannerチームとGoogle CloudのVulnerability Researchチームが発見しました。mod_http2モジュールに存在する競合状態（レースコンディション）で、ヒープメモリの破損を引き起こす可能性があります。
悪用に成功した攻撃者は、Webサーバープロセスの権限でコードを実行できます。影響を受けるのは、HTTP Server 2.4.55から2.4.70までと、単体版mod_h2の2.0.8から2.0.42までです。
Apacheはこの問題について、「Apache HTTP Serverのmod_http2にあるassign_headers()において、共有リソースを不適切な同期で並行実行する脆弱性があり、RCEにつながる可能性がある」と説明しています。
Apache HTTP Serverは、Webブラウザーからのリクエストを処理し、ページや画像などのWebサイトのコンテンツを配信する無料のオープンソースソフトウェアです。広く利用されており、Webサイトのおよそ5つに1つを支えていると推定されています。
クラウドセキュリティ企業Wizのテレメトリデータによると、クラウド環境の64%に脆弱なリソースが存在し、そのうち約半数にはインターネットに公開されたインスタンスがあります。
ただし、この数字にはサーバー設定が考慮されていません。この脆弱性を悪用するには、HTTP/2が有効になっている必要があります（デフォルトは無効）。
サイバーセキュリティ企業watchTowrの研究者もこの条件を確認しており、管理者に対して「今すぐパッチを適用するか、適用できるまでh2を無効にすべきだ」と呼びかけています。
Wizの研究者は次のように説明しています。「リソースを共有する複数のスレッドを並行実行する際に、同期が不適切なため、攻撃者はヒープ破損を引き起こすことができます」
「このメモリ破損は、最終的にホスティングサーバー上でのRCEに悪用される可能性があります。権限のない攻撃者が、Webサーバープロセスの権限で任意のコマンドを実行できるようになります」
Wizはこの脆弱性の深刻度を「重大（Critical）」と評価していますが、公式のスコアはまだありません。同社は、この脆弱性を狙った公開エクスプロイトや攻撃は現時点で確認していないとしています。ただし、状況はすぐに変わる可能性があります。
Apache HTTP Serverの最新版では、ほかに2件の脆弱性も修正されています。1件は「mod_md」のヌルポインタ参照を突くCVE-2026-106023、もう1件は「mod_vhost_alias」のデータ上書きの脆弱性で、深刻度が低いCVE-2026-109163です。
