Apache HTTP Serverの脆弱性(Important: CVE-2026-23918, Moderate: CVE-2026-24072, CVE-2026-33006, Low:複数)と2.4.67リリース

05/05/2026にApache HTTP Serverの脆弱性(Important: CVE-2026-23918, Moderate: CVE-2026-24072, CVE-2026-33006, Low: CVE-2026-28780, CVE-2026-29168, CVE-2026-29169, CVE-2026-33007, CVE-2026-33523, CVE-2026-33857, CVE-2026-34032, CVE-2026-34059)と修正バージョン(2.4.67)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

[過去関連リンク(最新5件)]

• Apache HTTP Serverの脆弱性(Moderate: CVE-2025-59775, CVE-2025-66200, Low: CVE-2025-55753, CVE-2025-58098,CVE-2025-65082)と新バージョン(Apache HTTP Server 2.4.66)
• Apache HTTP Serverの脆弱性(Moderate: CVE-2025-54090)と2.4.65リリース
• Apache HTTP Serverの脆弱性(Moderate: CVE-2024-42516, CVE-2024-43394, CVE-2025-23048, CVE-2025-49812, CVE-2025-53020, Low: CVE-2024-43204, CVE-2024-47252, CVE-2025-49630) と2.4.64リリース
• Apache HTTP Serverの脆弱性(Important:CVE-2024-40725, CVE-2024-40898)と2.4.62リリース
• Apache HTTP Serverの脆弱性(Important:CVE-2024-39884)とApache HTTP Server 2.4.61の公開

一次情報源

• Apache HTTP Server 2.4 vulnerabilities

CVSS/プライオリティ

• CVE-2026-23918
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Important
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-24072
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Moderate
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-28780
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Low
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-29168
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Low
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-29169
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Low
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-33006
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Moderate
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-33007
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Low
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-33523
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Low
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-33857
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Low
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-34032
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Low
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-34059
  • 影響するバージョン
    • N/A
  • Priority/CVSS SCORE
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
    • Vendor: Low
  • CVSS Vector
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-05-04
    • EPSS: Not Available
    • Percentile: Not Available

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• https://www.cve.org/CVERecord?id=CVE-2026-23918
  • Apache HTTP Server: http2: early resetでの二重開放とリモートコード実行の可能性
  • HTTP/2プロトコルを有効にしているApache HTP Serverでは、二重開放とリモートコード実行（RCE）の可能性が存在します。
• https://www.cve.org/CVERecord?id=CVE-2026-24072
  • Apache HTTP Server: ap_exprを使用したmod_rewriteの権限昇格
  • Apache HTTP 2.4.66以前に含まれるモジュールには権限昇格の問題が有り、ローカルの.htaccess所有者がhttpdユーザの権限でファイルを読むことが可能です。
• https://www.cve.org/CVERecord?id=CVE-2026-28780
  • ajp_msg_check_header()を通じたmod_proxy_ajpでのバッファーオーバーフロー
  • Apache HTTPサーバでのmod_proxy_ajpにヒープベースバッファーオーバーフローの脆弱性が存在します。 mod_proxy_ajpが悪意のあるAJPサーバーに接続した場合、このAJPサーバーはmod_proxy_ajpに悪意のあるAJPメッセージを送信し、ヒープベースバッファの末尾に攻撃者が制御する4バイトを書き込ませることができます。
• https://www.cve.org/CVERecord?id=CVE-2026-29168
  • mod_mdの非制限のOCSP応答
  • OCSPデータ応答の際のmod_mdに制限なくリソースを割当ててしまう問題が見つかりました。
• https://www.cve.org/CVERecord?id=CVE-2026-29169
  • Apache HTTP Server: mod_dav_lock の間接的なクラッシュ
  • Apache HTTPサーバー2.4.66以前にはNULLポインタ被参照の問題があり、悪意のあるリクエストでサーバーをクラッシュさせることができます。ただしmod_dav_lockはmod_davやmod_dav_fsの内部では使用されていません。 mod_dav_lockが使用される可能性のあるユースケースとしては、Apache Subversionが1.2.0以前の際にmod_dav_svnを使用されるケースです。
• https://www.cve.org/CVERecord?id=CVE-2026-33006
  • Apache HTTP Server: mod_auth_digest のタイミング攻撃
  • Apache HTTPサーバー2.4.66以前のmod_auth_digestにはタイミング攻撃が可能で、リモートの攻撃者がダイジェスト認証を迂回できる可能性があります。
• https://www.cve.org/CVERecord?id=CVE-2026-33007
  • Apache HTTP Server: mod_authn_socacheのクラッシュ
  • Apache HTTPサーバー2.4.66以前のmod_authn_socacheにはNULLポインタ被参照の問題があり、リモートの攻撃者が子プロセスをクラッシュさせることができる可能性があります。
• https://www.cve.org/CVERecord?id=CVE-2026-33523
  • Apache HTTP Server: multiple modules: HTTP response 分割による悪意のあるステータス行の転送
  • 信頼できない、あるいは侵害されたバックエンドサーバーを持つ複数のApache HTTPサーバーモジュールでは、HTTPレスポンス分割の脆弱性があります。
• https://www.cve.org/CVERecord?id=CVE-2026-33857
  • Apache HTTP Server: AJP getter関数でのOff-by-one境界外読み込みの可能性
  • Apache HTTPサーバーのmod_proxy_ajpに境界外読み込みの脆弱性が存在します。
• https://www.cve.org/CVERecord?id=CVE-2026-34032
  • Apache HTTP Server: mod_proxy_ajp: Heap Buffer Over-Read Due to Missing Null-Termination Check (ajp_msg_get_string)
  • Apache HTTP Server: mod_proxy_ajp: (ajp_msg_get_string)でのNULL終端チェック不足によるヒープバッファーオーバーリード
  • NULL終端チェックの不足による、Apache HTTP サーバーの境界外読み込みの脆弱性が存在します。
• https://www.cve.org/CVERecord?id=CVE-2026-34059
  • Apache HTTP Server: mod_proxy_ajp: ajp_parse_data()でのヒープオーバーリードとメモリの暴露
  • Apache HTTPサーバにはバッファーオーバーリードの脆弱性が存在します。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2026-23918
  • https://security-tracker.debian.org/tracker/CVE-2026-24072
  • https://security-tracker.debian.org/tracker/CVE-2026-28780
  • https://security-tracker.debian.org/tracker/CVE-2026-29168
  • https://security-tracker.debian.org/tracker/CVE-2026-29169
  • https://security-tracker.debian.org/tracker/CVE-2026-33006
  • https://security-tracker.debian.org/tracker/CVE-2026-33007
  • https://security-tracker.debian.org/tracker/CVE-2026-33523
  • https://security-tracker.debian.org/tracker/CVE-2026-33857
  • https://security-tracker.debian.org/tracker/CVE-2026-34032
  • https://security-tracker.debian.org/tracker/CVE-2026-34059
• Red Hat Enterprise Linux/CentOS/Rocky Linux/Alma Linux
  • https://access.redhat.com/security/cve/CVE-2026-23918
  • https://access.redhat.com/security/cve/CVE-2026-24072
  • https://access.redhat.com/security/cve/CVE-2026-28780
  • https://access.redhat.com/security/cve/CVE-2026-29168
  • https://access.redhat.com/security/cve/CVE-2026-29169
  • https://access.redhat.com/security/cve/CVE-2026-33006
  • https://access.redhat.com/security/cve/CVE-2026-33007
  • https://access.redhat.com/security/cve/CVE-2026-33523
  • https://access.redhat.com/security/cve/CVE-2026-33857
  • https://access.redhat.com/security/cve/CVE-2026-34032
  • https://access.redhat.com/security/cve/CVE-2026-34059
• Ubuntu
  • https://ubuntu.com/security/CVE-2026-23918
  • https://ubuntu.com/security/CVE-2026-24072
  • https://ubuntu.com/security/CVE-2026-28780
  • https://ubuntu.com/security/CVE-2026-29168
  • https://ubuntu.com/security/CVE-2026-29169
  • https://ubuntu.com/security/CVE-2026-33006
  • https://ubuntu.com/security/CVE-2026-33007
  • https://ubuntu.com/security/CVE-2026-33523
  • https://ubuntu.com/security/CVE-2026-33857
  • https://ubuntu.com/security/CVE-2026-34032
  • https://ubuntu.com/security/CVE-2026-34059
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2026-23918.html
  • https://www.suse.com/security/cve/CVE-2026-24072.html
  • https://www.suse.com/security/cve/CVE-2026-28780.html
  • https://www.suse.com/security/cve/CVE-2026-29168.html
  • https://www.suse.com/security/cve/CVE-2026-29169.html
  • https://www.suse.com/security/cve/CVE-2026-33006.html
  • https://www.suse.com/security/cve/CVE-2026-33007.html
  • https://www.suse.com/security/cve/CVE-2026-33523.html
  • https://www.suse.com/security/cve/CVE-2026-33857.html
  • https://www.suse.com/security/cve/CVE-2026-34032.html
  • https://www.suse.com/security/cve/CVE-2026-34059.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

• Apache HTTP Server 2.4 vulnerabilities