脆弱性 · 緊急 · CVSS 9.8
Apache HTTP Serverの脆弱性と2.4.71リリース
ティアA · 今日中にパッチ – 帰る前に対応
影響を受ける人： Apache HTTP Serverを利用するサーバー運用環境全般
ティアAの理由： 基幹インフラまたは人気ツール かつ 認証不要のリモート攻撃 かつ 完全な乗っ取り
影響範囲
攻撃
被害
修正
人気ツール · 認証不要のリモート攻撃 · 完全な乗っ取り
取るべき対応
- Apache HTTP Serverを2.4.71以降にアップデートする
- 利用中のディストリビューションのパッケージ修正状況を確認する
要点
- Apache HTTP Serverの脆弱性が公開され、Critical（CVE-2026-119618）、Important（CVE-2026-106023）、Low（CVE-2026-109163）の深刻度が示された
- 同時にModerateの脆弱性（CVE-2026-42528、CVE-2026-57941、CVE-2026-59685など）も公表された
- 脆弱性への対応として2.4.71がリリースされた
なぜ重要か
Apache HTTP Serverを運用する開発者はCritical評価の脆弱性を含む今回の公表内容を確認し、2.4.71への更新を検討する必要がある。ディストリビューションごとの対応状況も異なるため、利用環境のパッケージ状況を確かめることが求められる。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中4項目が「はい」
| はい | 開発者に影響 | Web開発や運用で広く使われるサーバーソフトウェアであるため、開発・運用チームに影響する。 |
| いいえ | 基幹インフラ | 単一のOSSプロジェクトのWebサーバーであり、ほぼ全チームが運用する基幹インフラとまでは言えない。 |
| はい | 人気ツール | 多くのチームが使う一般的なWebサーバーであり、広く普及したソフトウェアに当たる。 |
| いいえ | 悪用確認済み | SIOS SECURITY BLOG: 脆弱性の公開と2.4.71リリースのみを報じ、悪用の観測には触れていない。 |
| いいえ | 公開エクスプロイト | SIOS SECURITY BLOG: 脆弱性の概要とディストリビューションの対応を述べるのみで、エクスプロイトの公開には触れていない。 |
| はい | 認証不要のリモート攻撃 | CVSSCVE-2026-57941：CVSS 9.8（ネットワーク経由、特権不要、ユーザー操作不要） |
| はい | 完全な乗っ取り | CVSSCVE-2026-57941：CVSSは機密性と完全性への影響をともに「高」と評価 |
| いいえ | シークレットの流出 | SIOS SECURITY BLOG: 認証情報や顧客データの流出に関する記述はない。 |
| いいえ | サプライチェーン | SIOS SECURITY BLOG: 悪意あるコードの配布やビルドパイプラインの侵害に関する記述はない。 |
| いいえ | 修正なし | SIOS SECURITY BLOG: 2.4.71がリリースされており、修正済みバージョンが存在する。 |
公式の記録
CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。
Apache HTTP Server: mod_http2: heap corruption and RCE in assign_headers
- 悪用確認済み
- CISAの悪用カタログには未掲載
- 脆弱性の種類
- CWE-362
Apache HTTP Server: mod_md NULL pointer dereference leads to child process crash
- 悪用確認済み
- CISAの悪用カタログには未掲載
- 脆弱性の種類
- CWE-476
Apache HTTP Server: mod_vhost_alias 1 byte stack buffer overwrite (after CVE-2026-63292)
- 悪用確認済み
- CISAの悪用カタログには未掲載
- 脆弱性の種類
- CWE-121
CVE-2026-42528 ↗CVSS 4.3 medium AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L
Apache HTTP Server: mod_dav shared lock overflow
- 悪用確認済み
- CISAの悪用カタログには未掲載
- EPSS
- 今後30日間に悪用される確率は<1% · 全CVEの36%より高い
- 脆弱性の種類
- CWE-789
CVE-2026-57941 ↗CVSS 9.8 critical AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Apache HTTP Server: mod_http2 use-after-free / wild write via shared session->bbtmp re-entrancy
- 悪用確認済み
- CISAの悪用カタログには未掲載
- EPSS
- 今後30日間に悪用される確率は<1% · 全CVEの49%より高い
- 脆弱性の種類
- CWE-416
CVE-2026-59685 ↗CVSS 7.5 high AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Apache HTTP Server: Out-of-Bounds Write in ap_directory_walk() Canonical-Name Rewrite on CASE_BLIND_FILESYSTEM
- 悪用確認済み
- CISAの悪用カタログには未掲載
- EPSS
- 今後30日間に悪用される確率は<1% · 全CVEの41%より高い
- 脆弱性の種類
- CWE-787
タイムライン
Apache HTTP Serverの脆弱性が公開され、2.4.71がリリースされた
SIOS SECURITY BLOG
Apache HTTP Serverの脆弱性(Critical: CVE-2026-119618, Important: CVE-2026-106023, Low: CVE-2026-109163)と2.4.71リリース
出典
Apache HTTP Serverの脆弱性(Critical: CVE-2026-119618, Important: CVE-2026-106023, Low: CVE-2026-109163)と2.4.71リリース ↗ SIOS SECURITY BLOG · 2時間前