事故・脆弱性13分で読める

CVE-2026-119618 — Apache HTTP Server mod_http2 のヒープ破壊とリモートコード実行（2.4.55〜2.4.70が対象、修正版2.4.71）の解説と対応策

CVE-2026-119618は、Apache HTTP Server 2.4.55〜2.4.70のmod_http2でRCEにつながる脆弱性（Apache評価は最高の「critical」）。修正版は2.4.71。実際の悪用の記載なし。公開研究で攻撃が実証されたとRed Hat。

本文を読む

重大#CVE-2026-119618 #Apache HTTP Server #Apache #mod_http2 #HTTP/2 #リモートコード実行 #ヒープ破壊 #Webサーバー

公開日: 2026-11-13
更新日: 2026-11-13
最終確認: 2026-11-13

Apache HTTP Serverのmod_http2に見つかった、リモートコード実行（RCE）につながる脆弱性の解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順は伏せて防御目線でまとめます。

速報サマリー — ADVISORY

CVE: CVE-2026-119618（Apache HTTP Server: mod_http2: heap corruption and RCE in assign_headers）
重大度: Apache評価はcritical（最高の段階）。CVSSの点数は、Apacheの勧告にもCVE.orgの記録にもない（Red Hatは独自に9.8と評価）
種別: 共有資源を適切な同期なしに並行して使う不備（CWE-362）。ヒープ破壊からRCEにつながる
対象: Apache HTTP Server 2.4.55〜2.4.70。GitHubのmod_h2は2.0.8〜2.0.42
修正: Apache HTTP Server 2.4.71（2026年11月11日公開）
同時に修正: CVE-2026-106023（mod_md、important）、CVE-2026-109163（mod_vhost_alias、low）
悪用状況: 実際の悪用の記載なし（Red Hatは公開研究で攻撃が実証されたと説明）。CISA KEVの11月10日版カタログに未掲載
回避策: Apacheの勧告に記載なし

critical

Apacheの評価（CVSSなし）

RCE

リモートコード実行

2.4.71

修正版（11月11日）

記載なし

実際の悪用・回避策

結論

HTTP/2を有効にしたApacheは2.4.71へ更新する。実際の悪用の記載はないが、公開研究で攻撃が示されており、深刻度も最高の段階

Apacheは、mod_http2のこの不備を最高の「critical」と評価し、RCEにつながり得るとしています。実際の悪用の記載は今のところなく、回避策も勧告にありません。ただしRed Hatは、公開された研究で、HTTP/2を有効にした既定構成のサーバーに対する信頼できる攻撃が示されたと説明しています。公開から日が浅く、修正のコードも公開されているので、早急に2.4.71へ更新してください。

使っているApacheの版を確かめる。2.4.55〜2.4.70なら対象になり得る。
HTTP/2を有効にしているかを確かめる（Red Hatは、HTTP/1.1だけなら脆弱ではないとしている）。
2.4.71、またはディストリビューションの修正パッケージへ更新する。
Ubuntuなど修正がまだ出ていない環境は、出るまで各社の情報を確かめる。

版の表示だけでは判断できない

DebianやRed Hatなどは、版番号を上げずに修正だけを取り込む場合があります。apache2 -v や httpd -v の表示が古く見えても、修正済みのことがあります。逆に、版の表示だけで安心しないでください。パッケージの更新履歴か、各ディストリビューションの情報で確かめます。

どんな脆弱性か

Apacheの勧告は、mod_http2の assign_headers() で、共有資源を適切な同期なしに並行して使う不備があり、ヒープ破壊を経て、リモートコード実行につながり得ると説明しています。CWE-362に分類されます。

Apacheの勧告に、悪用に必要な条件の詳しい記載はありません。当サイトも推測では書きません。
発見は、2件の別々の報告によります。AIを使ったコード解析ツールの開発元が2026年10月26日に、クラウド事業者のセキュリティ研究チームが11月3日に、それぞれApacheのセキュリティチームへ報告しました。
Apacheは2.4系の修正を11月11日に取り込み、同日に2.4.71を公開しました。
GitHubで配布されている単体のmod_h2も対象（2.0.8〜2.0.42）です。Apache本体にまとめて入っているmod_http2とは別に、単体の版を入れている場合は、そちらも確かめます。

影響範囲

項目	内容
製品	Apache HTTP Server（mod_http2）
影響を受ける版	2.4.55〜2.4.70
修正版	2.4.71
単体のmod_h2（GitHub）	2.0.8〜2.0.42が対象
深刻度	Apache評価 critical（CVSSなし）。Red Hatは独自に9.8と評価
回避策・緩和策	Apacheの勧告に記載なし

2.4.54以前は、勧告の対象範囲に入っていません。ただし、古い版はほかの脆弱性が積み重なっているので、この機会に更新を検討してください。
勧告は、HTTP/2を有効にしている場合だけが対象とは書いていません。次の節の情報は、Red Hatのものです。

同じ2.4.71で修正された他の2件

CVE	内容	Apacheの評価	影響を受ける版
CVE-2026-106023	mod_mdで、NULLポインタの参照により子プロセスがクラッシュする	important	2.4.30〜2.4.70
CVE-2026-109163	mod_vhost_aliasで、1バイトのスタックバッファ上書き（CVE-2026-63292の修正後に残った問題）	low	2.4.69・2.4.70

2.4.71に更新すれば、3件ともまとめて直ります。

ディストリビューションの状況（2026年11月13日時点）

提供元	状況
Debian	セキュリティトラッカーは、bookworm（12）が2.4.71-1~~deb12u1、trixie（13）が2.4.71-1~~deb13u1で修正済みとしている
Ubuntu	全リリースが「Needs evaluation」（評価待ち）。修正版は未掲載。優先度は High
Red Hat	RHEL 9と10が影響を受け、重要度は Important。RHEL 8以前は対象外。詳しい手順はRed Hatのセキュリティ情報（RHSB-2026-017）を参照

Red Hatは、各HTTP/2ストリームに個別のメモリ領域を割り当てる（各ストリームを別のアロケータから割り当てるため、悪用が難しくなるとRed Hatは説明）ため、RHEL 9と10の重要度は「Critical」より一段低い「Important」だと説明しています。
この表は日付入りの確認結果で、変わります。使っている環境の最新の情報を、各社のページで確かめてください。

自分が対象か確かめる方法

Apacheの版を確認する

apache2 -v（Debian系）または httpd -v（RHEL系）で版を見ます。2.4.55〜2.4.70なら、対象になり得ます。ディストリビューションのパッケージは、版番号が同じでも修正が取り込まれていることがあるので、パッケージの更新履歴と、各社のセキュリティ情報を見比べます。

HTTP/2が有効かを確認する

設定に Protocols h2 や h2c の指定があるか、http2 モジュールが読み込まれているか（apachectl -M の出力）を見ます。Red Hatの情報では、HTTP/2を有効にしたサーバーが対象で、HTTP/1.1だけなら脆弱ではありません。なお、これはRed Hatの説明で、Apacheの勧告にこの区別は書かれていません。

Apacheが載っている機器を洗い出す

Webサーバーのほか、製品に組み込まれたApache（管理画面やアプライアンス）がないかを確かめます。台帳の作り方は資産棚卸しチェックリストを参照してください。

今日やること

2.4.71、またはディストリビューションの修正パッケージへ更新する（最優先）

自分でビルドしたApacheは2.4.71にします。パッケージで入れている場合は、修正パッケージが出ているかを各社の情報で確かめて更新します。更新後はApacheを再起動（または再読み込み）して、設定に問題がないか、apachectl configtest で先に確かめてください。

修正がまだ出ていない環境では、HTTP/2が必要かを確かめる

Apacheの勧告に回避策はありません。そのうえで、当サイトの補足として、HTTP/2を使う理由が薄い環境では、Protocols の指定からh2・h2cを外してHTTP/1.1だけで動かす選択肢があります。ただし、勧告が示す対策ではなく、性能やクライアントへの影響があるため、動作を確かめてから判断してください。更新が可能になった時点で、元に戻して構いません。

リバースプロキシ・CDNの背後かを整理する

前段のロードバランサーやCDNが、HTTP/2を終端してバックエンドにはHTTP/1.1で渡す構成なら、バックエンドのApacheがHTTP/2を受けていない場合があります。自分の構成で、どこがHTTP/2を話しているかを確かめます。

更新後の異常を確認する

実際の悪用の記載はありませんが、更新までの間に不審なことがなかったかを確かめます。Apacheが予期しない子プロセスの異常終了を繰り返していないか、見覚えのないファイルやプロセスがないかを見ます。調べ方はサイト・サーバーが不正アクセスされていないか確かめる方法にまとめています。

悪用状況

Apacheの勧告に、実際の悪用の記載はありません。
CISAのKEVの11月10日版カタログには載っていません。
CVE.orgの記録に、CVSSの点数はありません。深刻度はApacheの評価（critical）だけです。
発見者の報告は10月26日と11月3日で、公開は11月11日です。公開前の悪用の有無は、公開情報から確認できませんでした。
Red Hatは、公開された研究で、HTTP/2を有効にした既定構成のサーバーに対する信頼できる攻撃が示されたとしています（実際の悪用の記載ではありません）。
実際の攻撃の規模・攻撃者についての公開情報は、確認できませんでした。

出典

Apache HTTP Server Project — Apache HTTP Server 2.4 vulnerabilities（2.4.71の修正3件、影響版、報告日・修正日）
CVE.org — CVE-2026-119618（2026年11月11日公開。CWE-362、深刻度critical、CVSSなし）
Debian — Debian Security Tracker CVE-2026-119618（bookworm・trixieの修正版）
Ubuntu — CVE-2026-119618（評価待ち、優先度High）
Red Hat — CVE-2026-119618（RHEL 9・10が対象、Important）
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日版カタログに未掲載）

HTTP/2を無効にする案は、当サイトが一般的な対処として挙げたもので、Apacheの勧告に書かれた回避策ではありません。最終確認：2026年11月13日。

次に読む

よくある質問

QCVE-2026-119618とは何ですか？

Apache HTTP Serverのmod_http2（HTTP/2を扱うモジュール）にある脆弱性です。複数の処理が共有資源を同期せずに使う不備（CWE-362）で、Apacheの勧告は、これがリモートコード実行（RCE）につながり得るとしています。Apacheは深刻度を最高の「critical」と評価していますが、CVSSの点数は付けていません。

Qどの版が対象で、修正はどれですか？

Apacheの勧告では、Apache HTTP Server 2.4.55から2.4.70までが対象で、2.4.71（2026年11月11日公開）で修正されました。GitHubで配布されている単体のmod_h2は2.0.8から2.0.42までが対象と書かれています。

QHTTP/2を使っていなければ影響はありませんか？

Apacheの勧告には、有効にしている構成だけが対象という記載はありません。Red Hatの情報は、ProtocolsディレクティブでHTTP/2（h2・h2c）を有効にしたサーバーが対象で、HTTP/1.1だけのサーバーは脆弱ではないとしています。自分の環境で有効かどうかは、設定とロードされているモジュールで確かめてください。

Q更新できない間の回避策はありますか？

Apacheの勧告に、回避策や緩和策の記載はありません。当サイトの補足として、HTTP/2が不要なら無効にする（HTTP/1.1だけで動かす）ことが、更新までの間の一般的な選択肢になります。ただしこれは勧告に書かれた対策ではなく、動作確認が必要です。

Qすでに悪用されていますか？

実際の悪用の記載はありません。CISAのKEV（悪用が確認された脆弱性の一覧）の11月10日版カタログにも載っていません。ただしRed Hatは、公開された研究で、HTTP/2を有効にした既定構成のサーバーに対する信頼できる攻撃が示されたと説明しています。深刻度もcriticalで、修正のコードも公開されているため、早急に更新してください。

QDebian、Ubuntu、RHELは直っていますか？

2026年11月13日時点で、Debianのセキュリティトラッカーは、bookworm（12）とtrixie（13）のセキュリティ更新を2.4.71-1に修正済みとしています。UbuntuはどのリリースもNeeds evaluation（評価待ち）で、修正版は未掲載です。Red HatはRHEL 9と10が影響を受け、重要度はImportant、RHEL 8以前は対象外としています。状況は動くので、各社の情報で確かめてください。