さくらのVPSのApache脆弱性対応：確認と更新【2026年版】

2026年11月11日に公開された Apache HTTP Server 2.4.71 は、HTTP/2 の処理に見つかった 深刻度「critical」の脆弱性（CVE-2026-119618） を直すセキュリティリリースです。さくらのVPS で WordPress などのサイトを Apache で動かしている人は、自分のサーバーが対象かどうかを確かめる 必要があります。

ただ、さくらのVPS の Apache は、ほとんどの場合 OS のパッケージで入れたもの です。この場合、Apache の公式サイトの「2.4.71 に上げる」という話をそのまま当てはめることはできません。OS ごとに、修正版の出方が違う からです。

この記事では、さくらのVPS の標準OS（AlmaLinux・Rocky Linux・Debian など）で Apache を動かしている人向けに、確認の手順・更新の手順・修正版が出るまでの回避策 を公式情報で整理します。あわせて、11月10日に東京リージョンの新規申し込みが再開した 申し込み状況もまとめます——今から Web サーバーを立てる人にも役立つ内容です。

※ この記事は2026年11月13日時点の公式情報をもとにしています。

さくらのVPSのApache更新とは？一言でまとめると

一言でまとめると、「バージョンと HTTP/2 の設定を確かめ、OS のパッケージで直す。修正版がまだなら HTTP/2 を止めて待つ」 という作業です。

※ 2026年11月13日時点（Apache HTTP Server、Red Hat、AlmaLinux・Rocky Linux のエラッタ、Debian セキュリティトラッカー）。

脆弱性そのものの詳しい内容は、こちらの記事で解説しています。

あわせて読みたい

Apacheに緊急の脆弱性、HTTP/2で遠隔実行の恐れ【2026年11月】

【2026年11月】今確認したい理由

11月は、Apache の脆弱性に加えて、さくらのVPS にも関係するお知らせが続いています。

• 11月9日：さくらのVPS が、標準OS の KUSANAGI 9 に HTTP ヘッダーインジェクションの脆弱性（CVE-2026-117477）があると案内
• 11月10日：東京リージョンの新規申し込みが再開（10月16日から停止していた）
• 11月11日：Apache が 2.4.71 を公開し、CVE-2026-119618 などを修正
• 11月12日：さくらのVPS の標準OS 「Debian 11」の提供が終了

Debian 11 について、さくらのVPS は サポートが終了した OS にはセキュリティパッチが提供されなくなる と注意しています。すでに入れているサーバーは使い続けられますが、OS の再インストールでは選べなくなりました。Debian 11 で Apache を動かしている人は、Debian 12 などへの移行も考えたいところ です。

そもそもApacheは入っている？標準OSの初期状態

さくらのVPS の標準OS は、最小限のパッケージだけで始まります。たとえば AlmaLinux 9 の場合、公式マニュアルに載っているインストールパッケージは @core・gdisk・tuned だけです。つまり、Apache は最初から入っていません。

Apache が入っているのは、次のような場合です。

• 自分で dnf install httpd や apt install apache2 で入れた
• スタートアップスクリプト（サーバーの初回起動時に自動で実行される設定）で、Web サーバーを入れるもの——たとえば公式スクリプトの 「LAMP」や「WordPress」 を選んだ
• KUSANAGI など、Web サーバー込みの OS を選んだ

どのスクリプトを使ったか覚えていない場合は、サーバーの /root/.sakuravps/startup.log に実行時のログが残っています（公式マニュアル）。Apache が入っているかは、次のコマンドで分かります。

# AlmaLinux・Rocky Linux・CentOS Stream
rpm -q httpd mod_http2

# Debian
dpkg -l apache2

「インストールされていない」と表示されれば、この脆弱性への対応は不要 です。nginx だけで動かしている場合も、この脆弱性の対象ではありません。

① バージョンとHTTP/2の設定を確かめる

Apache が入っていたら、バージョン・HTTP/2 のモジュール・設定 の3つを確かめます。Red Hat は、「mod_http2 を読み込んでいる」「Protocols に h2 か h2c がある」「ネットワークから届く」のすべてに当てはまるサーバーが危ない としています。

Debian の apache2ctl は、Apache 本体と同じ引数をそのまま渡せる ので、-v や -M が使えます（Debian のマニュアル）。

設定の確認で h2 や h2c が出てきたら、HTTP/2 が有効 です。逆に、設定ファイルのどこにも Protocols が無ければ、Apache の既定値の Protocols http/1.1（HTTP/1.1 だけ）で動いています。Protocols は サーバー全体にも、サイトごと（バーチャルホスト）にも書ける ので、grep で全部の設定ファイルを探すのが確実です。

バージョン番号だけで判断しない

OS のパッケージの Apache は、バージョン番号を変えずに修正だけを取り込む ことがあります。特に AlmaLinux・Rocky Linux 9/10 では、今回の修正は httpd 本体ではなく、別パッケージの mod_http2 に入る形です（Red Hat）。httpd -v の数字だけでなく、次の節の修正版のパッケージが入っているか で判断しましょう。

② OS別：修正版は出ている？

さくらのVPS の標準OS ごとに、2026年11月13日時点の状況をまとめます。

※ 2026年11月13日時点（Red Hat「CVE-2026-119618」、AlmaLinux・Rocky Linux の公式エラッタ、Debian セキュリティトラッカー、さくらのVPS ニュース）。

AlmaLinux は「RHEL とバイナリ互換」をうたう OS で、過去の mod_http2 の更新も RHEL と同じ番号（例: 2026年8月の ALSA-2026:59387。Rocky Linux も RLSA-2026:59387）で出ています。今回も RHEL の修正を追う形で出る と考えられますが、11月13日時点ではまだ両方のエラッタに載っていません。

それまでの間は、次の ④ の回避策で HTTP/2 を止めておく のが現実的です。なお、Red Hat は RHEL 9・10 の mod_http2 について、HTTP/2 のストリームごとに別のメモリ管理を使うため攻撃がかなり難しい として、深刻度を Critical ではなく Important にしています。それでも修正の対象であることは変わりません。

③ 更新の手順：dnf・aptと再起動

修正版のパッケージが出ていれば、更新はいつものパッケージ更新と同じです。さくらのVPS の公式スクリプト「Setup and update」が初回起動時に行うのも、この yum（dnf）update / apt upgrade です。

① AlmaLinux・Rocky Linux

sudo dnf upgrade --refresh
rpm -q mod_http2        # 修正版の番号になったか確かめる
sudo systemctl restart httpd

AlmaLinux・Rocky Linux のエラッタに CVE-2026-119618 の更新が載ったら、この手順で入れます。今の時点で dnf upgrade をしても、今回の修正はまだ入りません。

② Debian 12

sudo apt update
sudo apt upgrade
dpkg -l apache2         # 2.4.71-1~deb12u1 になったか確かめる
sudo systemctl restart apache2

パッケージを入れ替えたら、Apache を再起動して新しいプログラムで動かす のを忘れずに。再起動の前に、Debian なら apache2ctl configtest で設定ファイルの文法を確かめておくと安心です。

OS のアップデートの基本や SSH まわりの初期設定は、こちらで整理しています。

あわせて読みたい

さくらのVPSのセキュリティ初期設定：最初にやる5つの対策【2026年版】

④ 修正版が出るまでの回避策：HTTP/2を止める

修正版がまだ出ていない OS では、Red Hat がセキュリティ情報で示している 回避策 が使えます。

1. 設定ファイルの Protocols から h2 と h2c を外し、Protocols http/1.1 にする（AlmaLinux・Rocky Linux なら /etc/httpd/conf/httpd.conf や /etc/httpd/conf.d/ の下のファイル）
2. Apache を再起動する：sudo systemctl restart httpd
3. 確かめる：curl -kI --http2 https://localhost の1行目が HTTP/1.1 200 OK になっていれば、HTTP/2 は止まっている

Red Hat によると、HTTP/2 で接続してきたブラウザには HTTP/1.1 で応答するだけなので、普通の閲覧者は気づかない とされています。ただし、これは修正ではなく、一時的に攻撃の入口を減らす策 で、表示速度が少し落ちることもあります。修正版が出たら③の手順で更新し、HTTP/2 を戻しましょう。

Debian では、HTTP/2 のモジュールそのものを sudo a2dismod http2 で無効にすることもできます（Debian のマニュアル）。ただし Debian 12 はすでに修正版が出ているので、まずは③で更新するのが先 です。

さくらのVPS で無料で使える WAF（SiteGuard Server Edition）を入れている人もいるかもしれません。WAF は攻撃の一部を手前で止める仕組みですが、ソフトの脆弱性の根本的な対策は更新 です。WAF の役割と限界はこちらで解説しています。

あわせて読みたい

さくらのVPSの無料WAF：SiteGuardの使い方と注意点【2026年版】

KUSANAGI・Docker・ソースで動かしている場合

標準OS のパッケージ以外で Apache を動かしている場合は、確認する場所が変わります。

• KUSANAGI：さくらのVPS は11月9日の KUSANAGI の脆弱性のお知らせで、KUSANAGI 公式サイトの情報を確認してアップデートする よう案内しています。今回の Apache の件も、KUSANAGI の公式の案内を確かめてください
• Docker：Docker Hub の公式イメージ httpd は、11月12日に 2.4.71・2.4・latest のタグが更新 されています。新しいイメージを取得し、コンテナを作り直す と修正版になります
• ソースからビルド：Apache の公式ダウンロードページから httpd-2.4.71 を取得してビルドし直します

どの方法でも、更新したあとに再起動（コンテナなら作り直し）して、新しいプログラムで動いているか を確かめるところまでが対応です。

料金・申し込み：今申し込めるリージョンとプラン

これからさくらのVPS で Apache の Web サーバーを立てる人に向けて、料金と申し込み状況をまとめます。Web サイトの運用なら、公式が「一般的な Web サイトや WordPress の運用に」としている 2GB が基準になります。

※ 料金は2026年11月13日時点（さくらのVPS 公式「料金・仕様」、月額払い・税込・初期費用無料）。年額払いなら石狩の 2GB は 年額19,118円（月額換算1,594円） です。

申し込み前に知っておきたい点です。

• 石狩・東京は新規申し込みを受付中：10月16日から全リージョンで止まっていた新規申し込みは、石狩が10月23日、東京が11月10日に再開 しました
• 大阪は一部だけ：大阪の Linux VPS は 大容量ストレージオプション付きのプランでのみ 申し込めます（通常容量のプランは停止中）
• スケールアップは受付停止のまま（再開時期は未定）。あとから上のプランに上げられないので、最初から余裕のあるプランを選ぶ のが無難です
• クレジットカード払いなら2週間の無料お試し（お試しは2台まで、外向きの25番ポートは制限）
• 最低利用期間は3か月

石狩・東京なら、公式サイトから申し込めます。

月額643円から使える！さくらのVPS

リージョンごとの料金差や選び方は、こちらで整理しています。

あわせて読みたい

さくらのVPSは石狩・大阪・東京どれ？料金差と選び方【2026年版】

よくある質問

Q. さくらのVPS を借りただけで、この脆弱性の対象になりますか？

A. なりません。標準OS は最小限のパッケージで始まり、Apache は最初から入っていません。自分で入れたか、Web サーバーを入れるスタートアップスクリプト・OS を選んだ場合だけ対象になり得ます。

Q. HTTP/2 を有効にしていなければ、何もしなくていいですか？

A. Red Hat は、HTTP/1.1 だけで動かしているサーバーは CVE-2026-119618 の影響を受けない としています。ただし 2.4.71 では、TLS 証明書を扱う mod_md の脆弱性（important）なども直っています。修正版が出たら更新しておく のが安全です。

Q. AlmaLinux で dnf upgrade をしたのに、mod_http2 が新しくなりません。

A. 11月13日時点では、AlmaLinux・Rocky Linux の公式エラッタに今回の修正がまだ載っていません。エラッタに載るまでは、④の回避策で HTTP/2 を止めて待つ ことになります。

Q. さくらインターネットが代わりに更新してくれますか？

A. 期待しないほうがよいでしょう。さくらのVPS の公式マニュアルは、スタートアップスクリプトについて 導入や設定の代行は受け付けておらず、原則として利用者のサーバーを操作・設定しない としています。OS の更新も利用者が行う前提で考えましょう。

まとめ

さくらのVPS で Apache を動かしている人がやることのポイントをまとめます。

• 脆弱性：CVE-2026-119618（mod_http2、Apache は critical）
• 対象：Apache 2.4.55〜2.4.70 で、HTTP/2（h2 / h2c）を有効にしているサーバー
• 確認：httpd -v・httpd -M（Debian は apache2ctl）と、設定の Protocols
• AlmaLinux・Rocky Linux 9/10：11月13日時点で修正版は未掲載。それまでは Protocols http/1.1 にして再起動
• Debian 12：apache2 2.4.71-1~deb12u1 に更新して再起動
• Debian 11：さくらのVPS での提供は 11月12日に終了
• 申し込み：石狩・東京は受付中、大阪は大容量ストレージ付きのみ、スケールアップは停止中
• 料金：石狩の 2GB は 月額1,738円（年額払いなら月額換算1,594円、税込）

まずは grep -r 'Protocols' で、自分のサーバーで HTTP/2 が有効になっているかを確かめてみてください。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。