Apache HTTPサーバーに深刻な脆弱性（CVE-2026-119618）— 未認証でリモートコード実行が可能

【なぜ重要か】 Apache HTTPサーバーのHTTP/2モジュール（mod_http2）に深刻な競合状態の脆弱性が発見された。認証不要のリモート攻撃者がサーバー上で任意のコマンドを実行できるため、インターネットに公開されているApacheサーバーを運用する組織は早急な対応が必要である。クラウド環境では、侵害されたインスタンスからラテラルムーブメントや隣接するマイクロサービス・クラウドメタデータエンドポイントへのアクセスにも悪用される可能性がある。

【ポイント】

• 影響範囲: Apache HTTP Server 2.4.55〜2.4.70、およびmod_h2モジュール 2.0.8〜2.0.42が対象。HTTP/2を有効にしているサーバーが影響を受ける。なお、標準的なHTTPロードバランサーの背後に置かれたサーバーは、通常の構成では影響を受けない。
• 脆弱性の仕組み: assign_headers()関数内で複数のスレッドが共有リソースを適切な同期なしに使用することでヒープ破壊が発生し、リモートコード実行につながる競合状態が存在する。AnthropicおよびGoogleがApacheに報告した。
• 修正方法: Apache HTTP Serverを2.4.71以降にアップグレードすることが推奨される。スタンドアロンのmod_h2は2.0.42より新しいバージョンへの更新が必要。OSベンダーのパッケージはまだ修正版が提供されていない場合があるため、各ディストリビューションのトラッカーも確認すること。
• 暫定対策: すぐにパッチ適用が困難な場合は、httpd.confからh2およびh2cの記述を削除してHTTP/2を無効化し、HTTP/1.1のみに制限することで攻撃経路を排除できる（根本的な修正ではないため、パッチ適用後は速やかに元に戻すこと）。
• 悪用状況: 公開時点では実際の攻撃（野外での悪用）は報告されていない。Aikidoはコンテナイメージおよび接続済みVM上でCVE-2026-119618を検出可能。

【まとめ】 HTTP/2を有効にしたApache HTTPサーバー（2.4.55〜2.4.70）を運用している場合、未認証のリモート攻撃者によるコード実行リスクがあるため、直ちに2.4.71以降へのアップグレードを実施すること。パッチ適用が困難な場合はHTTP/2を一時的に無効化して攻撃経路を遮断した上で、ベンダーパッケージの更新を待つこと。