Apache HTTP Server における重大なRCE脆弱性

Apache HTTP Server における重大なRCE脆弱性：知っておくべきことすべて

Apache HTTP Server の HTTP/2 モジュール (mod_http2) に、重大な同期脆弱性 (CVE-2026-119618) が特定されました。この欠陥は、共有リソースを処理する際の assign_headers() 関数内での同時実行競合状態に起因します。もし悪用された場合、リモートから認証されていない攻撃者がヒープメモリを破損させ、任意のコード実行 (RCE) を達成できる可能性があります。

本ブログ記事の公開時点では、エクスプロイトは利用可能ではなく、実世界での悪用報告もありません。

CVE-2026-111497 とは？

CVE-2026-119618 は、Apache HTTP Server における重大かつ高深刻度の脆弱性で、Anthropic および Google Cloud の脆弱性リサーチチームによって独立して発見された競合状態に関連するものです。

具体的には、この欠陥は HTTP/2 モジュール (mod_http2) の assign_headers() 関数内に存在します。リソースを共有する並行スレッドの実行時に適切な同期が行われないため、攻撃者はヒープ破損を引き起こす可能性があります。このメモリ破損は、最終的にホスティングサーバー上で RCE を達成するために悪用され、不正な脅威アクターがウェブサーバープロセスの権限で任意のコマンドを実行できるようになります。

Wiz Research データ：クラウド環境へのリスクは？

クラウド環境では、コンテナ化または仮想化されたワークロードを実行する侵害された Apache インスタンスが、ラテラルムーブメントのエントリーポイントとして機能し、隣接するマイクロサービスやクラウドメタデータエンドポイントを露呈させる可能性があります。

Wiz のデータによると、クラウド環境の 64% が CVE-2026-119618 に対して脆弱なリソースを持っており、51% のクラウド環境 には公開されているインスタンスが存在します。これは設定を考慮しない数値です。

影響を受ける製品は？

この脆弱性は、以下の表に示されたバージョン範囲内で、Apache HTTP Server の HTTP/2 機能を利用するデプロイメントに影響します。

セキュリティチームが取るべき対策は？

セキュリティオペレーションおよびエンジニアリングチームは、以下の修正および緩和策を実行する必要があります。

1. デプロイメントのアップグレード

• Apache HTTP Server のアップグレード: 影響を受けるインストールを Apache HTTP Server バージョン 2.4.71 以降に更新してください。このリリースは assign_headers() の競合状態に対処しています。

• スタンドアロンモジュールの更新: GitHub からのスタンドアロン mod_h2 ビルドを管理している場合は、モジュールを 2.0.42 より新しいバージョンにアップグレードしてください。

2. 一時的な緩和策の実装

運用上の制約により即時のパッチ適用が不可能な場合は、攻撃ベクトルを排除するために一時的に HTTP/2 サポートを無効にしてください。

• 設定ファイル（httpd.conf など）を編集し、h2 および h2c への参照を削除して、アクティブなプロトコルを HTTP/1.1 に制限します。

Wiz の顧客は、Wiz Threat Center の事前構築済みクエリとアドバイザリを使用して、環境内の脆弱なインスタンスを検索できます。

参照

• Apache HTTP Server リリースノート