Apacheに緊急の脆弱性、HTTP/2で遠隔実行の恐れ【2026年11月】

「CVE-2026-119618」という番号を見かけて、自分のサーバーの Apache は大丈夫なのか気になった人も多いのではないでしょうか。

2026年11月11日、Apache HTTP Server の開発チームは、深刻度「critical」の脆弱性を直した Apache HTTP Server 2.4.71 を公開しました。問題は HTTP/2 を担当するモジュール mod_http2 にあり、遠隔からコードを実行される（RCE）恐れ があります。

Apache HTTP Server 2.4 vulnerabilities

対象は 2.4.55 から、修正前の最新版だった 2.4.70 まで です。HTTP/2 を有効にしている Apache は、すぐ更新を ——という位置づけのセキュリティリリースです。

※ この記事は2026年11月13日時点の公式情報をもとにしています。

Apacheの脆弱性CVE-2026-119618とは？一言でまとめると

「Apache の HTTP/2 の処理にある欠陥で、サーバーのメモリが壊れ、遠隔からコードを実行される恐れがある脆弱性」 です。

CVSS は脆弱性の深刻度を 0〜10 で表す指標で、9.0 以上は最も深刻な「Critical」 です。なお、米国の脆弱性データベース NVD は、11月13日時点でまだ独自のスコアを付けていません。

発見者として、Apache のページには Anthropic の「OSS Scanner」 と、Google Cloud Vulnerability Research の2人 の名前が載っています。報告は Anthropic が10月26日、Google が11月3日です。

何が起きるのか：HTTP/2の同時処理でメモリが壊れる

Apache の発表は、「共有リソースの不適切な同期」によって RCE につながる と短く書いています。中身をもう少し詳しく説明しているのが Red Hat です。

• HTTP/2 は、1本の接続で多くのリクエストを同時に送れる しくみ
• mod_http2 は、その同時のリクエストを 複数のスレッドで処理 している
• スレッドの安全性に欠陥があり、あるスレッドが別のスレッドのメモリを書き換えてしまう
• その結果、サーバー内部のメモリが壊れる

Red Hat によると、Web サーバーに接続できる攻撃者は、認証なしで任意のコマンドを実行できる 恐れがあります。成功すると、システムの乗っ取り・情報の盗み見・サービス停止 につながりかねません。

影響を受けるバージョンと条件

① バージョン：2.4.55〜2.4.70

2.4.55 より前のバージョンは、この脆弱性の対象には入っていません。ただし 古いバージョンには別の脆弱性が残っている ので、「古いから安全」とは考えないほうがよいでしょう。

② 条件：HTTP/2を有効にしているか

Red Hat は、Protocols ディレクティブで HTTP/2（h2 または h2c）を有効にしたサーバーが対象 で、HTTP/1.1 だけで動かしているサーバーは影響を受けない としています。

Apache のドキュメントでは、HTTP/2 は次のように有効にします。

• モジュールを読み込む：LoadModule http2_module modules/mod_http2.so
• 設定に書く：Protocols h2 http/1.1（h2c も使うなら Protocols h2 h2c http/1.1）

Protocols は サーバー全体にも、特定のバーチャルホストにも書ける ので、サイトごとの設定ファイルも含めて確認 しましょう。

悪用はされている？

Apache の発表には、実際の攻撃（悪用）が確認されたかどうかの記載はありません。米 CISA の「悪用が確認された脆弱性」の一覧（KEV）にも、11月13日時点で載っていません。

一方で Red Hat は、公開されている研究で、mod_http2 を有効にした既定の設定のサーバーに対する確実な攻撃方法が実証されている としています。攻撃の手口が知られている以上、悪用の報告を待たずに更新する のが安全です。

国内では、JPCERT/CC の注意喚起の一覧に、11月13日時点で Apache の項目はまだありません。

同時に直された2件

2.4.71 では、ほかに2件の脆弱性も直っています。

mod_md は、ACME という仕組みで TLS 証明書の取得・更新を Apache 自身が行う ためのモジュールです。HTTP/2 を使っていなくても、2.4.71 に上げる理由はある と言えます。

自分のサーバーを確認する方法

Apache のドキュメントにあるコマンドと設定で、次の3点を確かめます。

1. バージョン：httpd -v で表示。2.4.55〜2.4.70 なら対象
2. HTTP/2 のモジュール：httpd -M で読み込み中のモジュールを一覧表示。http2_module があるか を見る
3. 設定：設定ファイルに Protocols で h2 / h2c を書いているか を探す

注意したいのは、OS のパッケージで入れた Apache は、バージョン番号だけでは判断できない ことです。Linux のディストリビューションは、バージョン番号を変えずに修正だけを取り込む（バックポートする）ことがあります。ディストリビューションの公式のセキュリティ情報で、修正済みのパッケージかどうか を確かめましょう。

VPS を借りたばかりで OS の違いがよく分からない場合は、ConoHa VPS の OS の選び方（Ubuntu・Rocky Linux）も参考になります。

更新方法：OSのパッケージ・Docker・ソース

① RHEL・Debian のパッケージ

主なディストリビューションの公式情報では、次のパッケージで修正されています。

Red Hat は、RHEL 9・10 の mod_http2 は HTTP/2 のストリームごとに別のメモリ管理を使うため、攻撃がかなり難しくなる として、深刻度を Critical ではなく Important にしています。それでも修正の対象なので、更新は必要です。

Ubuntu やほかのディストリビューションを使っている場合は、それぞれの公式のセキュリティ情報で、修正版のパッケージが出ているかを確かめてください。パッケージを更新したら、Apache を再起動して新しいプログラムで動かす のを忘れずに。

② Docker の公式イメージ

Docker Hub の公式イメージ httpd は、2.4.71・2.4・latest のタグが11月12日に更新 されています。新しいイメージを取得して、コンテナを作り直す と修正版になります。

③ ソースからビルドしている場合

公式のダウンロードページから httpd-2.4.71 を取得してビルドし直します。GitHub で配布されている単体版の mod_h2 を使っている場合は、2.0.42 より新しい版 にする必要があります。

OS の更新を含む VPS のセキュリティの基本は、さくらのVPSのセキュリティ初期設定でも整理しています。XServer VPS を使っている人は、次の記事も参考になります。

あわせて読みたい

XServer VPSのセキュリティ対策：最初にやる6つの設定【2026年版】

開発者の反応

海外の技術者の掲示板 Hacker News では、この脆弱性の解説記事のスレッドが 11月13日時点で355ポイント・191件のコメント を集めています（出典）。

• Apache には10年以上触れておらず、今は nginx などが主流だと思っていた、という投稿者がいます（出典）
• Apache をプロキシとして使っている投稿者は、HTTP/2 のモジュールを無効にするコマンドを実行したところ「もともと無効だった」と書いています（出典）

Apache の公式ページへのリンクも、11月11日に別のスレッドとして投稿されています（出典）。

IT Picks的な所感

今回の脆弱性は、「HTTP/2 を有効にした Apache」という、ごく普通の構成が対象 になっている点が重いと受け止めています。HTTPS のサイトで HTTP/2 を使うのは、今では珍しくありません。

発見者として Anthropic のスキャナーと Google の研究チームが並んでいることも目を引きます。10月の 2.4.69 でも20件の脆弱性がまとめて直されており、Web サーバーの更新の頻度は上がっている ように見えます。10月には PHP でも重大な脆弱性が直されました（PHPの深刻な脆弱性2件の記事）。すぐ更新できる運用にしておくこと が、いちばんの備えだと思います。

Web サーバーまわりの脆弱性としては、10月の Brotli（HTTP2Shell）の件も記憶に新しいところです。

あわせて読みたい

Brotli脆弱性HTTP2Shell、米CISAが悪用確認【2026年10月】

まとめ

Apache HTTP Server の脆弱性 CVE-2026-119618 のポイントをまとめます。

• 修正版：Apache HTTP Server 2.4.71（2026年11月11日公開）
• 対象：2.4.55〜2.4.70（mod_h2 単体版は 2.0.8〜2.0.42）
• 場所：mod_http2（HTTP/2 の処理）
• 深刻度：Apache は critical、Red Hat は CVSS v3.1 で 9.8（RHEL 9・10 は Important）
• 条件：HTTP/2（h2 / h2c）を有効にしているサーバー。HTTP/1.1 だけなら影響なし（Red Hat）
• 悪用の報告：Apache の発表・CISA の KEV には 記載なし。Red Hat は 攻撃方法が実証済み としている
• 同時の修正：mod_md（important）、mod_vhost_alias（low）
• 対応：OS のパッケージ・Docker の公式イメージ・ソースのいずれかで 2.4.71 相当に更新し、再起動

まずは httpd -v と httpd -M で、自分のサーバーのバージョンと HTTP/2 のモジュールを確かめてみてください。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。