CVE-2026-119618: 重大なApache HTTP/2の脆弱性がリモートコード実行を可能に

Apacheは、Apache HTTP Serverのmod_http2モジュールにある重要なリモートコード実行の脆弱性であるCVE-2026-119618に対応する緊急のセキュリティアップデートをリリースしました。この欠陥はApache HTTP Serverのバージョン2.4.55から2.4.70に影響し、認証されていない遠隔の攻撃者がヒープメモリを破損し、脆弱なサーバー上で任意の命令を実行できる可能性があります。

この脆弱性は、Apacheが同時HTTP/2要求を処理する際の不適切な同期に起因しています。複数のスレッドが適切な連携なしに共有リソースにアクセスできるレースコンディションを生じさせ、一方のスレッドが別のスレッドが使用しているメモリを変更できるようになります。成功したエクスプロイトによりサーバーの内部ヒープが破損し、最終的にリモートコード実行を引き起こします。

HTTP/2を有効化したApacheデプロイメントのみが既知の攻撃経路にさらされます。HTTP/1.1専用に設定されたサーバーは脆弱なmod_http2機能に達しません。ApacheのProtocols指令を使用して、TLS接続についてはh2、クリアテキストHTTP/2についてはh2cを有効にできます。

営業部門に連絡する

Apacheは、2026年11月11日にリリースされたHTTP Server 2.4.71で脆弱性に対処しました。GitHubバージョン2.0.8から2.0.42までのmod_h2の単独リリースも影響を受けます。Apacheの公式勧告は、現在のところ、修正済みの単独リリース版mod_h2を特定していません。

Red Hatは、この脆弱性に対し、ネットワークからアクセス可能で、認証やユーザーインタラクションを必要とせず、複雑性が低いエクスプロイトが可能な一般的な評価として、CVSS 3.1スコア9.8を割り当てています。Red Hatはさらに、リサーチによりmod_http2を有効にしたデフォルト設定のサーバーに対して信頼性のあるエクスプロイトが実証されたと述べています。

しかし、2026年11月12日時点で、Apacheもレビューされたセキュリティレポートも実際の攻撃でのエクスプロイトを文書化していません。同様に、Wizも公表時点で既知の野生でのエクスプロイトを報告していません。それにもかかわらず、脆弱性は遠隔から到達可能であり、その技術的な根本原因が公に公開されているため、組織は修正を優先すべきです。

組織は、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを使用して、エクスプロイトの出現に対する防御を強化し、セキュリティチームが脅威インテリジェンスを運用化し、SIEM、EDR、XDR、データレイク環境全体で検出エンジニアリングと脅威ハンティングを加速できるようにします。

HTTP/2が有効な脆弱なインターネットフェーシングApacheサーバーを特定し、Apacheのクラッシュ、異常な子プロセス、予期しないコマンド実行、新規に作成されたファイル、異常な外部ネットワーク接続を伴う疑わしいHTTP/2アクティビティと関連付けることにより、CVE-2026-119618を検出します。

すべてのCVEに対して検出コンテンツが利用可能であるとは限りません。SOC Primeプラットフォームで現在のカバレッジを確認してください。関連する検出がまだ利用可能でない場合は、新しい脅威インテリジェンスと検出コンテンツが継続的に追加されているため、もう一度確認してください。

CVE-2026-119618の分析

CVE-2026-119618は、脆弱なmod_http2機能が存在し、HTTP/2が有効な場合に、Apache HTTP Serverのバージョン2.4.55から2.4.70に影響を及ぼします。単独のmod_h2プロジェクトは、バージョン2.0.8から2.0.42まで影響を受けます。Apacheはこの問題を重大と分類し、CWE-362、同期が不十分な共有リソースを使用した同時実行にマップします。

脆弱性は、ApacheのHTTP/2処理で使用されるassign_headers()関数に存在します。

HTTP/2は単一接続で複数のストリームが同時に動作できるため、HTTP/1.1とは大きく異なります。したがって、Apacheのmod_http2モジュールは、リクエストを処理し、HTTP/2ストリームを同時に管理するために複数のスレッドを使用します。

これらのスレッドが十分な同期なしに共有メモリと相互作用する場合に問題が発生します。Red Hatの技術評価によれば、HTTP/2ストリームワーカーが、ロックフリーのアロケーターを通じて、接続スレッドが所有するメモリに書き込むことができます。

攻撃者が制御するタイミング下で、同時アクセスがヒープを破損させる可能性があります。

ヒープの破損に関する脆弱性は、メモリのレイアウトと攻撃者の制御によって異なる結果を生む可能性があります。エクスプロイトが失敗するとApacheのワーカープロセスがクラッシュする可能性がありますが、十分に制御された破損はプログラムの状態を変更または実行を転送することができます。

Red Hatは、成功したエクスプロイトが認証されていない攻撃者にApache HTTP Serverプロセスの特権で任意のコマンドを実行できることを示しています。これにより攻撃者はアプリケーションデータ、設定ファイル、webサーバーで利用可能な認証情報、その他そのセキュリティコンテキストでアクセス可能なリソースにアクセスすることができます。

脆弱性は、インターネットに面したシステムでは特に懸念されるもので、攻撃者は有効なアカウント、パスワード、APIキー、または他の認証を必要としません。攻撃者は影響を受けるHTTP/2エンドポイントへのネットワークアクセスだけを必要とします。

それにもかかわらず、露出は設定に依存します。

Apache HTTP Serverは実際にHTTP/2を提供しなければなりません。管理者は、Protocols指令を使用して次で有効にできます：

Protocols h2 http/1.1

TLS上のHTTP/2では、または：

Protocols h2c http/1.1

クリアテキストHTTP/2がサポートされる場合。

指令はグローバルにまたは個々の仮想ホストで設定できるため、露出を評価する際には、サーバー全体及びサイトごとの設定の両方を調査する必要があります。

影響を受けるApacheバージョンを実行するサーバーであっても、HTTP/1.1のみを提供している場合、この欠陥を介して脆弱ではありません。Red Hatは特に、HTTP/2が有効でないシステムは影響を受けるコードパスに到達しないことを確認しています。

Apacheの上流の影響範囲をLinuxディストリビューションパッケージに盲目的に適用すべきではありません。

Red Hat Enterprise Linux 8およびそれ以前のリリースには脆弱なコードが含まれておらず、影響を受けません。RHEL 9およびRHEL 10には影響を受けたmod_http2パッケージが含まれていますが、Red Hatはそれらのプラットフォームでの問題の重要性を重要と評価しています。

この違いは実装の詳細により生じます。RHEL 9および10では、各HTTP/2ストリームが接続との共通アロケーターを共有するのではなく、別個のメモリアロケーターを受け取ります。Red Hatは、このアーキテクチャがエクスプロイトの複雑さを大幅に増すとしながらも、影響を受けるシステムでは依然としてセキュリティアップデートが必要であると述べています。

Red Hatは、2026年11月11日に複数のRHEL 9およびRHEL 10ストリーム向けに修正済みパッケージをリリースしました。ベンダーが管理するLinuxパッケージを使用している管理者は、サーバーが表示する上流のApacheバージョンからのみ脆弱性を判断するのではなく、ディストリビューションのセキュリティアップデートを適用するべきです。

Apache HTTP Server 2.4.71 は上流の修正を提供します。この修正は脆弱な同期とメモリ管理の動作を修正し、同時HTTP/2操作が影響を受ける共有リソースと安全でない方法で相互作用できないようにします。

この脆弱性は二つの研究活動を通じて独立して発見されました。

AnthropicのOSSスキャナーは、2026年10月26日にApacheのセキュリティチームに問題を報告し、識別子ANT-2026-MAPKT6MZの下で行われました。Google Cloud Vulnerability ResearchのAnthony WeemsとSimon Scannellは、11月3日に独立して脆弱性を報告しました。Apacheは、11月11日に修正をリリースしました。

CVEレコードは2026年11月11日に公表されました。

CVE-2026-119618のPoC状況は慎重に解釈する必要があります。Red Hatは、公開された研究がmod_http2を有効にしたデフォルト設定サーバーに対して信頼性のあるエクスプロイトが実証されたと述べています。しかし、The Hacker NewsとWizは、彼らのレポートが発表された時点で公開されているRCEエクスプロイトが特定されていないと報告しました。したがって、スキャナーやエクスプロイト関連ツールを主張する公開GitHubプロジェクトは、必ずしも検証済みの武器化されたRCEコードと解釈するべきではありません。

この区別は運用上重要です。守備側は、この欠陥が技術的にエクスプロイト可能であると仮定し、さらなる証拠が出るまで、信頼性のある武器化されたエクスプロイトが広く流通していると主張することを避けるべきです。

CVE-2026-119618の検出に関しては、セキュリティチームはまず露出したシステムを特定するべきであり、エクスプロイト署名のみに頼るべきではありません。

管理者は、HTTP/2モジュールが読み込まれているかどうかを次のようにして確認できます：

apachectl -M | grep http2

その後、管理者はApache設定ファイルを確認し、個々の仮想ホストに定義された指令を含む、h2またはh2cの指令を含むProtocols指令を調査すべきです。

外部サービスの発見も、HTTP/2をTLAS ALPNを介して協商するサーバーを特定できます。ただし、バージョン識別は誤解を招く可能性があります。なぜなら、Linuxのディストリビューションは、しばしば上流のようなバージョン文字列を変更せずに脆弱性修正をバックポートするためです。

ランタイムテレメトリは疑わしいHTTP/2トラフィックと関連付けて相関されるべきです。可能性のある行動指標には、繰り返しのApacheワーカークラッシュ、セグメンテーションフォールト、異常な再起動、メモリ破損メッセージ、または異常なHTTP/2要求バーストに関連する突然のサービスの不安定化が含まれます。

成功したエクスプロイトがコマンド実行を提供できるため、エンドポイントとホステレメトリはApacheから生じる異常な子プロセスについてもレビューされるべきです。

例としては、httpdまたはapache2が予期せずシェル、スクリプトインタープリター、ダウンロードユーティリティ、またはシステム管理コマンドを起動することが含まれます。

セキュリティチームは次のようなプロセス関係を調査すべきです：

httpd → /bin/sh

apache2 → bash

httpd → curl

apache2 → wget

または、ホストされたアプリケーションの通常の動作と一致しない他の実行チェーン。

一時ディレクトリ、ウェブルート、スタートアップロケーション、または書き込み可能なアプリケーションフォルダー内のファイル作成も、エクスプロイト後の活動を示す可能性があります。Apacheワーカープロセスからの予期しない外部接続は同様に注視されるべきです。

現在、Apacheおよびレビューされたソースが、実際の攻撃でのエクスプロイトを報告していないため、悪意のあるIPアドレス、ドメイン、ペイロードハッシュ、攻撃者インフラストラクチャなどのベンダーが発表したキャンペーン特定のCVE-2026-119618 IOCはありません。これにより、構成の評価と行動ベースの監視が静的インディケーターの一致よりもより価値があります。

CVE-2026-119618の緩和

主な修正手段は、影響を受けたApache HTTP Serverのインストールをバージョン2.4.71にアップグレードするか、オペレーティングシステムベンダーが提供する修正済みセキュリティパッケージを適用することです。Apache 2.4.71は2026年11月11日にリリースされ、上流修正を含みます。

組織は、信頼できないネットワークトラフィックに直接さらされる脆弱な機能をインターネットにさらすため、HTTP/2が有効なインターネット面したApacheデプロイメントを優先すべきです。

管理者は次のステップを実行する必要があります：

1. プロダクション、開発、クラウド、コンテナ環境全体にわたるApache HTTP Serverのデプロイメントをインベントリします。
2. Apache 2.4.55から2.4.70を実行しているインストールを特定します。
3. mod_http2が読み込まれているかどうかを確認します。
4. グローバルおよび仮想ホストのProtocols指令をh2またはh2cで検査します。
5. 上流のApacheデプロイメントを2.4.71以降にアップグレードします。
6. Debian、Red Hat、Amazon Linux、または他のオペレーティングシステムベンダーを通じて管理されている場合、ディストリビューション固有のパッケージを適用してください。
7. パッチ適用後にApacheを再起動して、脆弱なワーカープロセスが既に動作していないことを確認します。
8. 修正後の効果的なHTTPサーバーの設定を確認してください。
9. パッチ適用前に暴露されたインターネットに面したシステムでの疑わしい活動についての過去のテレメトリをレビューします。

管理者は、バージョン番号が2.4.71未満のオペレーティングシステムパッケージをインストールしただけではシステムが脆弱なままであると仮定すべきではありません。Red Hatなどのベンダーは独自のパッケージバージョンにセキュリティ修正をバックポートするため、関連するディストリビューションアドバイザリーを権威として扱うべきです。

公式のApache勧告は回避策を提供していません。とはいえ、組織がすぐにパッチを適用できない場合、HTTP/2を露出した構成から一時的に削除することで、既知の脆弱なコードパスへのアクセスを排除できます。Wizは更新が配置されるまでサーバーをHTTP/1.1に制限することを推奨しています。

例えば：

Protocols http/1.1

この回避策を適用する組織は、サイト固有の設定が独自にh2またはh2cを有効にできるため、すべての仮想ホストを検査する必要があります。

HTTP/2を削除すると、アプリケーションのパフォーマンスやクライアントの動作に影響を及ぼす可能性があるため、この変更はテストされ、セキュリティアップデートのインストールの置き換えではなく、一時的なリスク低減策として扱われるべきです。

CVE-2026-119618の緩和戦略には、不要な露出の削減も含まれるべきです。直接インターネット接続を必要としない管理用または内部Apacheサービスは、ネットワークセグメンテーション、ロードバランサ、リバースプロキシ、ファイアウォールポリシー、または非公開アドレスを通じて制限されるべきです。

バージョン2.0.8から2.0.42の間の単独のmod_h2リリースを使用する組織は特に注意が必要です。Apacheはそれらのリリースが影響を受けていると特定しており、The Hacker Newsは、影響を受けた個別のリリースが彼らの11月12日のレポート時点で公開されていないと報告しました。適切な個別の更新版が入手可能になるまで、HTTP/2を無効にするか、上流の修正を含むApache HTTP Serverパッケージに移行する必要がある可能性があります。

疑わしい活動が発見された場合、守備側は、作動的に可能な限り影響を受けたサーバーを隔離し、Apacheのアクセスログ、エラーログ、システムログ、プロセステレメトリ、ネットワーク接続、関連するメモリまたはクラッシュ情報を保存するべきです。

成功したエクスプロイトは単なるサービスクラッシュとしてではなく、潜在的なサーバー妥協として扱われるべきです。調査者は、新しいファイル、ウェブシェル、変更されたアプリケーションコード、持続性メカニズム、盗まれた資格情報、疑わしい外部トラフィック、横に移動した証拠を探すべきです。

Apacheプロセスにアクセスできる資格情報、データベースパスワード、APIキー、クラウド資格情報、TLSプライベートキー、またはアプリケーション設定に保存された機密情報を含む資格情報は、攻撃者が制御するコードの実行が行われた証拠が示唆された場合にレビューされ、ローテーションされるべきです。