The Hacker Newsによると、Apache HTTP ServerのHTTP/2通信を処理するモジュール「mod_http2」に、リモートから認証なしで任意のコードを実行される恐れがある脆弱性（CVE-2026-119618）が公表されました。影響を受けるのはバージョン2.4.55から2.4.70で、HTTP/2機能を有効にしているサーバーが対象となります。すでに修正版のバージョン2.4.71がリリースされており、迅速なアップデートまたはHTTP/2の無効化が求められます。
The Hacker News：Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotely
インターネットに公開しているWebサーバーに脆弱なApacheが稼働していないか不安な場合は、CyberCrewの診断チームにご相談ください。
この記事のポイント
影響のあるシステム
- Apache HTTP Server バージョン2.4.55から2.4.70（HTTP/2通信が有効な環境）
- GitHubで配布されているスタンドアロン版 mod_h2 バージョン2.0.8から2.0.42
推奨される対策
- Apache HTTP Serverを修正済みのバージョン2.4.71にアップデートする
- Red Hat Enterprise Linux 9環境では mod_http2-2.0.26-7.el9_9.1 以降のパッケージを適用する
- 直ちにアップデートできない場合、Protocolsディレクティブから「h2」および「h2c」を削除し「Protocols http/1.1」に設定してHTTP/2を無効化する
この記事に出てくる専門用語
- CVE-2026-119618：Apache HTTP ServerのHTTP/2処理モジュール「mod_http2」に存在する脆弱性の識別番号。今回の事案において、認証なしのリモートコード実行につながる致命的な不具合として報告されています。
- mod_http2：Apache HTTP ServerでHTTP/2通信を処理するためのモジュール。今回の脆弱性はこのモジュール内に存在し、同機能を有効化しているサーバーが攻撃対象となります。
- Protocolsディレクティブ：Apacheの設定ファイル内でサーバーや仮想ホストが受け付ける通信プロトコルを指定する設定項目。今回の脆弱性を回避するために、h2やh2cの指定を外してHTTP/1.1のみに制限する変更が案内されています。
CVE-2026-119618で任意のコードが実行される仕組み
The Hacker Newsによると、今回の脆弱性CVE-2026-119618は、Apache HTTP ServerのHTTP/2処理モジュール「mod_http2」に起因しています。攻撃者はサーバーにネットワーク接続できる状態であれば、事前の認証を必要とせずに遠隔からコードを実行し、Webサーバーのプロセス権限を完全に奪取できます。
Red Hatによる深刻度評価では、この欠陥に対してCVSS基本値9.8という極めて高いスコアが付与されました。私たちホワイトハッカーの視点でも、認証不要でプロセス権限を奪えるWebサーバーの脆弱性は、発見され次第すぐに自動化攻撃の標的になりやすい危険な特性を備えています。
攻撃の実効性については情報源の間で評価が分かれています。Red Hatは既知の公開研究によってデフォルト構成のmod_http2に対する実用的な悪用実証が行われていると指摘する一方、セキュリティ企業のWizは公開時点では悪用コードの流通や実際の悪用被害は確認されていないと報告しました。
脆弱性の影響を受けるバージョンと前提条件
The Hacker Newsによると、本脆弱性の影響を受けるのは公式のApache HTTP Serverバージョン2.4.55から2.4.70までです。過去の脆弱性CVE-2026-23918に対応するためにバージョン2.4.67以降へアップデートしていた環境であっても、今回の脆弱性には依然として脆弱な状態が維持されています。
影響を受ける必須の前提条件として、サーバー上でHTTP/2通信が有効化されている必要があります。HTTP/2はProtocolsディレクティブに「h2」または「h2c」が指定されている場合にのみ動作するため、これらが設定されていない環境は本件の攻撃を受けません。
また、GitHub上でスタンドアロン版として配布されていたmod_h2のバージョン2.0.8から2.0.42も影響範囲に含まれます。公式のパッケージだけでなく、ソースコードから独自にビルドして組み込んでいる環境がないか確認を進めます。
修正版への更新とHTTP/2無効化による回避策
The Hacker Newsによると、本脆弱性はApache HTTP Serverの最新版であるバージョン2.4.71において修正されました。Red Hat Enterprise Linux 9などのディストリビューションでも修正パッケージ「mod_http2-2.0.26-7.el9_9.1」の提供が始まっており、最新の安定パッケージへ更新するのが恒久的な対応となります。
一方で、GitHubのスタンドアロン版mod_h2はリポジトリがアーカイブされて読み取り専用となっており、修正版のリリースが提供されていません。修正版が提供されない環境や即座に再起動・更新ができないサーバーに対しては、Wizが指摘する回避策の適用が現実的な手段となります。
回避策としては、設定ファイル内のProtocolsディレクティブから「h2」および「h2c」の指定を削除し、「Protocols http/1.1」へと書き換えます。これによりサーバーのHTTP/2処理が無効化され、本脆弱性を突いた外部からの侵入経路を遮断できます。
Webサーバー管理者が今すぐ実施すべき確認手順
管理者が最初に着手すべき作業は、稼働中のApacheのバージョン確認とProtocolsディレクティブの精査です。私たち診断チームが調査に入る場合も、まずはサーバー全体の設定だけでなく、個別のバーチャルホスト単位でHTTP/2が有効化されていないかを徹底的にチェックします。
- 稼働中のApache HTTP Serverのバージョンが2.4.55から2.4.70の範囲に該当するか確認する
- httpd.confなどの設定ファイル【要確認：一次情報に記載なし】でProtocolsディレクティブを検索し、h2やh2cの記述が存在するか確認する
- バーチャルホスト（VirtualHost）ごとの設定【要確認：一次情報に記載なし】にも個別にProtocolsが定義されていないか全件確認する
- 影響バージョンでh2が有効な場合は、Apache 2.4.71への更新を実施するか、Protocols設定からh2とh2cを削除してWebサーバーを再読み込みする
サーバー全体の設定で無効化していても、一部の仮想ホストで設定が上書きされている見落としが現場では頻繁に発生します。全ての仮想ホスト定義を横断して検索し、通信プロトコルがHTTP/1.1のみに限定されている状態を確実に整えます。
参考文献・記事一覧
- The Hacker News「Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotely」
- GitHub「Releases · icing/mod_h2 · GitHub」
外部公開サーバーの設定状況や未適用の脆弱性を網羅的に洗い出したい組織は、当社の脆弱性診断サービスで現状のリスクを可視化できます。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
