11月11日の更新で重大な欠陥を修正
Apacheの公式一覧によると、11月11日公開の2.4.71は3件の脆弱性を修正した。このうちCVE-2026-119618は最も重い「critical」に分類されている。CVEは脆弱性を区別する識別番号だ。問題はHTTP/2用のmod_http2にあり、共有するデータを並行して処理するときの同期不備によってメモリーが壊れ、遠隔からコードを実行される可能性がある。
本体と別配布モジュールの対象版を分けて見る
開発者の告知が挙げるApache HTTP Server本体の対象は2.4.55から2.4.70まで。GitHubで別配布されるmod_h2については2.0.8から2.0.42までとしている。両者は番号の付け方が違うため、そのまま比較できない。今回の本体修正版は2.4.71だ。編集上は、製品名だけで判断せず、実際に導入している本体と追加機能を運用担当者が照合することが重要と考える。
HTTP/2の設定と更新経路を点検する
Wizは、HTTP/2を利用する対象版の導入環境に影響すると説明し、修正版への更新を勧めている。直ちに更新できない場合の暫定策としてHTTP/2の無効化も挙げる。ただし設定変更は通信やサービス運用に関わるため、利用者が独断で行うのではなく、管理者が確認する必要がある。配布元の更新情報と現在の設定を併せて確認し、修正の適用方法を判断したい。
悪用の有無は公表時点の情報として扱う
Wizは11月11日の記事公開時点で、公開された攻撃手段や実際の悪用の報告はないと記している。これは、その後も安全であることや、すべての被害を把握できていることを意味しない。同社のクラウド環境に関する比率も設定を考慮していないため、個々のサイトの危険度としては使わない。今後は公式の追加告知と利用する配布元の修正情報、悪用状況の更新を確認する。