ApacheのHTTP/2に重大な弱点。自社サイトはどの版を確認する？

ApacheがHTTP/2を受ける場所を確かめる

Apache HTTP Serverは、閲覧者からの要求を受けてページやデータを返すソフトです。HTTP/2は、一つの接続で複数の要求をやりとりする通信方式です。Apacheではmod_http2（モッド・エイチ・ティー・ティー・ピー・ツー）という部品が処理します。

今回のCVE-2026-119618（CVEはシー・ブイ・イー、弱点の識別番号）は、この部品が複数の要求を同時に扱うときに作業用メモリーが壊れる問題です。該当版でHTTP/2の通信がApacheに届くと、外部からログインなしでWebサーバーに命令を実行されるおそれがあります。サイトの改ざんや、Webサーバーからアクセスできるデータの読み取り、サービス停止につながり得ます。

ApacheはCritical（クリティカル、重大）と評価しています。Red Hatは、HTTP/2部品が有効な標準的な構成で攻撃が成立した公開研究に言及しています。11月12日に照合した公式資料と米CISAの既知悪用一覧では、実際の悪用は確認できませんでした。

ホスティング会社や配信サービスがサイトの手前でHTTP/2を受ける場合は、閲覧者からの接続と配信サービスからApacheへの接続を分けて確認します。Apacheの複数のサイト設定や、インターネットから直接Apacheに到達できる経路も、保守担当に照合してもらいます。

どこからApacheを入れたかで、更新先が変わる

Red Hat Enterprise Linux（レッドハット・エンタープライズ・リナックス）の9・10系列は、提供元が攻撃の難しさを考慮してImportant（重要）と評価し、対象系列ごとに修正を案内しています。Debian（デビアン）の公式表では、11月12日の確認時点で開発版sid（シド）は2.4.71-1で修正済み、安定版のbookworm（ブックワーム）とtrixie（トリクシー）の掲載パッケージは影響ありでした。運用中の系列に対応する案内を確認してください。

すぐに更新できない場合は、対象のApacheでHTTP/2のh2（エイチ・ツー）とh2c（エイチ・ツー・シー）を受けず、HTTP/1.1だけを受ける設定にできるかを担当者と確認します。サイトごとの設定、手前の配信サービスからの接続、HTTP/2を前提にした機能への影響を試験してから反映します。これは更新までの一時対応です。

更新後はトップページに加え、見積依頼まで試す

1. 止める範囲と戻す手順を決める。 サイト、管理画面、予約・問い合わせへの影響と中断の見込み、作業工数・費用、担当者を確認します。Apacheの設定、必要なアプリやデータのバックアップを確保し、別の環境で戻せるかを試します。
2. 修正を適用した版が動いているか確かめる。 担当者が検証環境で設定と主要操作を試してから本番に反映します。再起動や入れ替え後は、実際の稼働版とHTTP/2部品、公開経路の設定を確認します。
3. 利用者の手順を一つずつたどる。 公開ページ、画像、管理画面へのログイン、テスト環境での見積依頼・予約と通知を確認します。作業が失敗した場合、影響のある旧版を外部公開する前に、接続制限や代替窓口を決めます。覚えのないファイル変更などがあれば、ログや記録を保全して専門家に調査を依頼します。

保守会社にそのまま聞ける一文

うちのサイトのApacheとHTTP/2部品の配布元・稼働版を教えてください。ApacheがHTTP/2を受ける経路はありますか。CVE-2026-119618の対象なら、適用する修正、更新までの対策、中断する機能と時間、費用、見積依頼フォームの再開確認を教えてください。

自社で確認できる基本対策を見る →