Apache HTTP Serverに深刻な脆弱性、HTTP/2を利用する環境にリスク

出来事の日付：2026年11月12日

クラウドセキュリティ企業Wizによると、Apache HTTP ServerのHTTP/2処理に存在する深刻な脆弱性により、遠隔の攻撃者が認証なしで影響を受けるシステム上のコードを実行できる恐れがある。CVE-2026-119618として管理されるこの脆弱性は、`mod_http2`モジュールに影響し、Apache HTTP Server 2.4.71で修正された。

問題は、同モジュールの`assign_headers()`関数における競合状態にある。並行して動作するスレッドが十分に同期されないまま共有リソースを扱い、ヒープメモリの破損につながる可能性が生じる。Wizは、この破損を引き起こせる攻撃者が、ウェブサーバープロセスに割り当てられた権限で任意のコマンドを実行できる可能性があると説明した。

このため、インターネットに公開されたサーバーは特に懸念される。侵害されたApacheのインスタンスがクラウド環境への最初の侵入の足掛かりとなる可能性があり、その影響はサーバーの設定や、プロセスからアクセスできる他のリソースによって異なる。脆弱なサービスが外部に公開されている場合、コンテナー化や仮想化を行っているだけではリスクは解消しない。

Wizは、同社の観測ではクラウド環境の64%でこの脆弱性の影響を受けるリソースが見つかり、51%で外部に公開されたインスタンスが見つかったと述べた。同社は、これらの数値は個々の設定を考慮していないため、悪用可能と確認されたシステムの割合を示すものと解釈すべきではないと注意を促した。この特定の攻撃経路にさらされるのは、影響を受けるHTTP/2機能を利用し、かつ脆弱なバージョンの範囲に該当する環境である。

推奨される対応は、Apache HTTP Serverをバージョン2.4.71以降にアップグレードすることだ。単独の`mod_h2`ビルドを管理する担当者は、バージョン2.0.42より新しいものに移行する必要がある。運用上、即時のアップグレードが不可能な場合、Wizは`h2`と`h2c`のプロトコルオプションを削除してHTTP/2を一時的に無効にし、修正を適用できるまでサービスをHTTP/1.1に限定するよう推奨している。

Wizによると、この脆弱性はAnthropicとGoogle Cloudの脆弱性調査チームがそれぞれ独立に発見した。勧告の時点では公開されたエクスプロイトはなく、実際に悪用された事例も報告されていなかった。ただし、それによってパッチ適用の必要性が低下するわけではない。情報公開は防御側に明確な修正手段を示す一方、問題のあるコードへの注目を集める可能性もある。

脆弱性はアプリケーションコードではなくプロトコル処理に存在するため、担当チームは直接管理するウェブサーバーだけでなく、インフラ資産の一覧やベースイメージも確認すべきだ。古いテンプレートから作成されたシステムは、新たに導入したものであっても脆弱なままの可能性があるため、インストール日を頼りにするよりもバージョンの確認が有用となる。HTTP/2を一時停止した場合も記録を残し、修正版ソフトウェアの導入とテストが終わった後にプロトコルを再び有効にできるようにする必要がある。

セキュリティ担当チームはApacheの導入状況を把握し、HTTP/2を外部に公開しているものを特定し、正確なバージョンを確認したうえで、外部公開システムへの対応を優先すべきだ。また、最小権限のサービスアカウントや、ウェブサーバーが起動する不審なプロセスの監視を含め、通常のインシデント対応の管理策も見直す必要がある。こうした対策は影響を抑えるが、修正版の導入に代わるものではない。