重大2026-11-13
CVE-2026-119618 — Apache HTTP Server mod_http2 のヒープ破壊とリモートコード実行（2.4.55〜2.4.70が対象、修正版2.4.71）の解説と対応策
Apache HTTP Serverのmod_http2に、複数の処理が共有資源を同期せずに使う不備（CWE-362）があり、リモートコード実行（RCE）につながる。Apacheは深刻度を最高の「critical」とし、CVSSは付けていない。影響は2.4.55〜2.4.70、2.4.71（2026年11月11日）で修正された。同日、別の2件（mod_mdのクラッシュ、mod_vhost_aliasの1バイト書き込み）も修正されている。実際の悪用の記載はないが、Red Hatは公開研究で既定構成のサーバーへの信頼できる攻撃が示されたと説明し、勧告に回避策もない。当サイトの結論：HTTP/2を有効にしたApacheは早急に2.4.71へ更新し、ディストリビューションの修正パッケージが出るまでは、HTTP/2を使う必要があるかを確かめる。