Apache HTTP Serverに深刻なRCE脆弱性、クラウド環境の64%が影響
Critical RCE Vulnerability in Apache HTTP Server
Apache HTTP ServerのHTTP/2モジュール（mod_http2）に、assign_headers()関数内の競合状態に起因する深刻な脆弱性CVE-2026-119618が発見された。認証不要のリモート攻撃者がヒープメモリを破壊し、任意コード実行に至る可能性がある。AnthropicとGoogle Cloudの脆弱性研究チームが独立に発見した。Wizのデータによれば、クラウド環境の64%に脆弱なリソースが存在し、51%は公開状態にある。執筆時点で悪用の報告はない。2.4.71以降への更新か、HTTP/2の無効化が推奨される。
Wizのデータによると、クラウド環境の64%にCVE-2026-119618の影響を受けるリソースが存在し、51%のクラウド環境には公開されたインスタンスがある。
HNでの議論
187- jamesy0ung
パッチはhttps://github.com/apache/httpd/commit/5ed39287660daacd1233c...のようだ
- rurcliped
Apache httpdを一時的に止めている人向けに、見落とされがちな手順が一つある。certbot用のcronジョブやsystemdタイマーだ。これがhttpdを再起動して、動いたままにしてしまうことがある。つまり、Let's Encryptのよくある使い方では、「systemctl disable --now apache2」のような標準的な手順だけではhttpdを止めたままにできない。
- throooooo
Linuxのシステム管理経験はかなりあるが、Apacheには10年以上触れていない。今はもうほとんどnginxか他のソリューションだと思っていた。
- ankit9673
新しい脆弱性が出るたびに、自分たちはセキュアなコードを書くのがそんなに得意ではないのだなと考えさせられる。
- thehamkercat
> CVE-2026-111497とは何か？
> CVE-2026-119618は、……を含む重大な高深刻度の脆弱性である。
CVEが2つ？ (111497 != 11968)
- account42
> Apache HTTP ServerのHTTP/2モジュール(mod_http2)において
今になって思うと、HTTP/2は間違いだった気がする。理論上の利点だけでは、追加された複雑さを正当化できない。あんなふうに急いで導入すべきではなかったのは確かだ。
- neurostimulant
おそらくほとんどのApache/PHPのインストールはmpm_preforkで動いていて、この問題の影響は受けない。
- klaas-