Apache HTTP Server プロジェクトは 11 月 11 日に 2.4.71 を公開し、3 件の脆弱性を修正しました。内訳は緊急（critical）が 1 件、重要（important）が 1 件、低（low）が 1 件です。最も深刻なのは CVE-2026-119618 で、HTTP/2 モジュール mod_http2 の assign_headers() にある競合状態によってヒープメモリが破壊され、Apache はリモートコード実行につながりうると明記しています。影響を受けるのは 2.4.55 から 2.4.70 です（別途リリースされている mod_h2 では 2.0.8 から 2.0.42）。米国の脆弱性データベース（NVD）は 11 月 11 日にこの CVE を掲載しましたが、まだスコアを付けていません。CISA の KEV カタログには入っておらず、当サイトではこれまでのところ悪用の報告を確認していません。nginx を使っているサーバーは影響を受けません。
3 件の脆弱性
- CVE-2026-119618（緊急）：上で説明した mod_http2 のリモートコード実行です。Apache の記録によると、Anthropic のオープンソーススキャンプロジェクトが 10 月 26 日に報告し、Google Cloud Vulnerability Research チームが 11 月 3 日に独立して報告、修正は 11 月 11 日の 2.4.71 で提供されました。
- CVE-2026-106023（重要）：リクエスト処理中に mod_md で NULL ポインター参照が起き、子プロセスがクラッシュします。2.4.30 から 2.4.70 が影響を受けます。mod_md は証明書を自動で取得・更新するための Apache のモジュールなので、有効にしていなければ関係ありません。
- CVE-2026-109163（低）：mod_vhost_alias で 1 バイトのスタックバッファー上書きが起きるもので、影響を受けるのは 2.4.69 と 2.4.70 だけです。10 月 1 日の CVE-2026-63292 の修正後に残っていた問題です。
自分の Apache は対象範囲に入るか
- まずバージョンを確認します。Debian と Ubuntu では
apache2 -v、それ以外ではたいていhttpd -vです。次にapachectl -M | grep http2を実行して、http2 モジュールが読み込まれているかを確認します。何も出力されなければ HTTP/2 は有効になっていません。 - Debian：11 月 12 日時点で、Debian 12 と 13 にある 2.4.67 から 2.4.69 までのパッケージはすべて vulnerable（脆弱）とされており、修正版が設定されているのは unstable の
2.4.71-1だけです。 - Ubuntu：11 月 10 日の USN-9016-1 が修正したのは前回分の脆弱性（2.4.69 のときの分）で、修正版は 22.04 が
2.4.52-1ubuntu4.26、24.04 が2.4.58-1ubuntu8.18、26.04 が2.4.66-2ubuntu2.7ですが、CVE-2026-119618 は含まれていません。Apache の示す範囲に従えば、24.04 の 2.4.58 と 26.04 の 2.4.66 は影響を受けるバージョンに入り、22.04 の 2.4.52 は入りません。ただし、この記事の執筆時点では、この CVE についての Ubuntu 自身の判定を見つけられなかったため、Ubuntu のセキュリティページに従ってください。
パッチが届くまでにできること
Apache のアドバイザリには一時的な緩和策は書かれておらず、2.4.71 へのアップグレードを推奨しているだけです。脆弱なコードは mod_http2 の中にあり、このモジュールが読み込まれていなければ、リクエストがそこに到達することはありません。そのため、ディストリビューションがパッチを提供するまでの慎重な選択肢は、HTTP/2 を無効にすることです。Debian と Ubuntu では sudo a2dismod http2 && sudo systemctl restart apache2 を実行します。サイトは HTTP/1.1 にフォールバックして動き続けますが、リソースの多いページは読み込みがやや遅くなります。修正済みパッケージをインストールしたら、sudo a2enmod http2 で再び有効にして再起動してください。Apache を自分でコンパイルした場合や、コントロールパネル経由でインストールした場合は、自分で 2.4.71 にアップグレードするか、パネルのリポジトリを待つ必要があります。パネルのセキュリティ設定はaaPanel のインストールとセキュリティのガイドにあります。
主要な Web サーバーに深刻な脆弱性が見つかるのは、この 1 か月で 2 度目です。前回はnginx が 10 月 14 日に修正した 5 件の脆弱性でした。mod_md の脆弱性は証明書の自動更新に関わるもので、証明書の設定はLet's Encrypt SSL のチュートリアルで説明しています。この期間にサーバーで見覚えのないプロセスや不明なファイルが見つかった場合は、侵入チェックと強化のガイドに従ってください。