Apache HTTP Serverの脆弱性(Critical: CVE-2026-119618, Important: CVE-2026-106023, Low: CVE-2026-109163)と2.4.71リリース

11/11/2026にApache HTTP Serverの脆弱性(Critical: CVE-2026-119618, Important: CVE-2026-106023, Low: CVE-2026-109163)が公開され、2.4.71がリリースされました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

[過去関連リンク(最新5件)]

• Apache HTTP Serverの脆弱性(Moderate: CVE-2026-42528, CVE-2026-57941, CVE-2026-59685, CVE-2026-63292, CVE-2026-93546, Low: 複数)と新バージョン(2.4.69)
• Apacheの脆弱性(Moderate: CVE-2026-34355, CVE-2026-42535, CVE-2026-43951, CVE-2026-44119, CVE-2026-44186, CVE-2026-49975, Low:複数)と2.4.68リリース
• Apache HTTP Serverの脆弱性(Important: CVE-2026-23918, Moderate: CVE-2026-24072, CVE-2026-33006, Low:複数)と2.4.67リリース
• Apache HTTP Serverの脆弱性(Moderate: CVE-2025-59775, CVE-2025-66200, Low: CVE-2025-55753, CVE-2025-58098,CVE-2025-65082)と新バージョン(Apache HTTP Server 2.4.66)
• Apache HTTP Serverの脆弱性(Moderate: CVE-2025-54090)と2.4.65リリース

CVSS/プライオリティ

• CVE-2026-119618
  • 影響するバージョン
    • Apache HTTP Server: 2.4.55-2.4.70
  • Priority/CVSS SCORE
    • CNA(CVSSv4): Not disclosed:
    • CNA(CVSSv31): Not disclosed:
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): 9.8 Critical
  • CVSS Vector
    • CNA(CVSSv4): Not disclosed
    • CNA(CVSSv31): Not disclosed
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • EPSS Score/Percentile
    • DATE(JST): 2026-11-11
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-106023
  • 影響するバージョン
    • Apache HTTP Server: 2.4.30-2.4.70
  • Priority/CVSS SCORE
    • CNA(CVSSv4): Not disclosed:
    • CNA(CVSSv31): Not disclosed:
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • CNA(CVSSv4): Not disclosed
    • CNA(CVSSv31): Not disclosed
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-11-11
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-109163
  • 影響するバージョン
    • Apache HTTP Server: 2.4.69-2.4.70
  • Priority/CVSS SCORE
    • CNA(CVSSv4): Not disclosed:
    • CNA(CVSSv31): Not disclosed:
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): 5.9 Moderate
  • CVSS Vector
    • CNA(CVSSv4): Not disclosed
    • CNA(CVSSv31): Not disclosed
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
  • EPSS Score/Percentile
    • DATE(JST): 2026-11-11
    • EPSS: Not Available
    • Percentile: Not Available

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• https://www.cve.org/CVERecord?id=CVE-2026-119618
  • Apache HTTP Server: mod_http2: assign_headersでのheap破壊とRCEの可能性
  • Apache HTTP Serverのmod_http2のassign_headers()関数では、不完全なな同期を伴う共有リソースを使用する同時実行の脆弱性により、リモートコード実行（RCE）が発生する可能性があります。
• https://www.cve.org/CVERecord?id=CVE-2026-106023
  • Apache HTTP Server: mod_mdのNULLポインタ被参照による子プロセスのクラッシュ
  • Apache HTTPサーバーのmod_mdには、HTTPリクエストを処理する際にNULLポインタ被参照の脆弱性が存在します。
• https://www.cve.org/CVERecord?id=CVE-2026-109163
  • Apache HTTP Server: mod_vhost_alias 1 byte stack buffer overwrite (after CVE-2026-63292)
  • Apache HTTP Serverのmod_vhost_aliasには、CVE-2026-63292対応以降でスタックベースバッファーオーバーフローの脆弱性が存在します。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2026-119618
  • https://security-tracker.debian.org/tracker/CVE-2026-106023
  • https://security-tracker.debian.org/tracker/CVE-2026-109163
• Red Hat Enterprise Linux/CentOS/Rocky Linux/Alma Linux
  • https://access.redhat.com/security/cve/CVE-2026-119618
  • https://access.redhat.com/security/cve/CVE-2026-106023
  • https://access.redhat.com/security/cve/CVE-2026-109163
• Ubuntu
  • https://ubuntu.com/security/CVE-2026-119618
  • https://ubuntu.com/security/CVE-2026-106023
  • https://ubuntu.com/security/CVE-2026-109163
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2026-119618.html
  • https://www.suse.com/security/cve/CVE-2026-106023.html
  • https://www.suse.com/security/cve/CVE-2026-109163.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

• https://httpd.apache.org/security/vulnerabilities_24.html