Apache HTTP Server Flaws Enable Remote Code Execution and Denial-of-Service Attacks
2026/10/02 gbhackers — Apache が公表したのは、HTTP Server 2.4 に影響を及ぼす複数の脆弱性に関する情報であり、管理者に対して速やかなセキュリティ・アップデートの適用を求めている。これらの脆弱性に含まれるのは、スタック／ヒープ・バッファ・オーバーフローやメモリの不正利用に起因するリモート・コード実行 (RCE) の可能性のある欠陥や、サーバ・クラッシュ／サービス拒否 (DoS)／認証のバイパス／情報漏えいにつながる欠陥である。
これら脆弱性の影響を受けるのは、広く利用されている Web サーバの各種コンポーネントであり、特に mod_vhost_alias、mod_http2、mod_dav／mod_dav_fs、mod_auth_digest、mod_rewrite、mod_proxy 系モジュール、mod_ssl や、一部のオプション・モジュールを使用する設定が対象となる。すでに Apache は修正版をリリースしており、最新のアドバイザリには、2026年10月1日に公開されたバージョン 2.4.69 における、合計 20 件の修正が記載されている。
Apache HTTP Server の脆弱性
今回の 20 件のうち、深刻度 Moderate が 5 件、Low が 15 件であり、Important 以上に分類されたものは含まれない。ただし、Moderate には、コード実行の可能性が指摘されているものがある。
特に注意が必要なのは、Apache HTTP Server 2.4.68 以下の mod_vhost_alias に影響を及ぼす脆弱性 CVE-2026-63292 (Moderate) であり、スタック・ベースのバッファ・オーバーフローに起因する。VirtualDocumentRoot がホスト名のフォーマット指定子を使用し、かつ LimitRequestFieldSize がデフォルト値を超えて引き上げられている場合に、8192 バイトを超える Host ヘッダを含む HTTP リクエストによって、リモートの攻撃者が DoS を引き起こす、あるいは任意のコードを実行する可能性がある。
2 つ目の脆弱性 CVE-2026-57941 (Moderate) は、バージョン 2.4.0〜2.4.68 の mod_http2 に影響を及ぼす。共有されている session->bbtmp の再入 (re-entrancy) に起因する Use After Free であり、不正なメモリ書き込みにつながる恐れがある。
また、Windows 環境の Apache HTTP Server に影響を及ぼす CVE-2026-59685 (Moderate) は、展開時にサイズが増大する可能性のある 8.3 形式のファイル名を含むパスの処理において、ap_directory_walk() で境界外書き込みを引き起こすもので、バージョン 2.4.0〜2.4.68 が対象となる。
WebDAV 関連では、CVE-2026-42528 (Moderate) と CVE-2026-93546 (Moderate) が公表された。前者は、mod_dav におけるメモリ計算のバグであり、WebDAV ロックを作成する権限を持つ攻撃者が、サーバの子プロセスをクラッシュさせる可能性がある。後者は、mod_dav_fs の整数オーバーフローであり、書き込み権限を持つ認証済みの WebDAV クライアントが、多数の XML 名前空間を宣言した PROPPATCH リクエストを送信することで、ワーカー・プロセスのクラッシュや、ディレクトリのプロパティ・データベースの恒久的な破損を引き起こす恐れがある。いずれも、バージョン 2.4.68 以下が影響を受ける。
深刻度は Low ではあるものの、CVE-2026-42356 は、リモート・コード実行に至る可能性が指摘されている。CGI プログラムからの一部の内部リダイレクトにおいて、リダイレクト先も CGI として扱われ実行されてしまう問題であり、対象は、すでに CGI が有効化されているディレクトリ内にあり、かつ mod_mime が解釈する他の拡張子を持たないファイルに限られる。この脆弱性は、バージョン 2.4.60〜2.4.68 に影響を及ぼす。
mod_auth_digest では、3 件の脆弱性が修正された。CVE-2026-48005 (Low) は、AuthDigestNcCheck を有効にした Digest 認証において、偽造された Authorization ヘッダにより、未認証のリモート・クライアントが強制的な再認証による DoS を引き起こす可能性がある。CVE-2026-73636 (Low) は、AuthDigestNonceLifetime を 0 に設定している場合に、中間者 (MITM) 攻撃者が、キャプチャした Digest 認証情報をリプレイできるというものである。
さらに CVE-2026-73637 (Low) は、AuthDigestNcCheck の有効時、あるいは AuthDigestNonceLifetime を 0 に設定している場合に、同時実行される Digest 認証リクエストによって、認証状態の破損を引き起こす Use After Free の脆弱性である。
プロキシ関連のモジュールでも、複数の問題が修正されている。CVE-2026-63045 (Low) は、mod_proxy_ftp における FTP の PASV 応答アドレスの検証不備であり、フォワード・プロキシ構成で、信頼できない FTP サーバが細工した PASV 応答を返すことで、プロキシが任意の第三者ホストへのデータ接続を開く可能性がある。
また、CVE-2026-63718 (Low) は、mod_proxy_uwsgi においてバージョン 2.4.30〜2.4.68 が受ける、Transfer-Encoding を含む細工された uwsgi 応答によるレスポンス・スマグリングである。そして、バージョン 2.4.68 のみが影響を受ける CVE-2026-56449 (Low) は、mod_proxy_html における境界外書き込みであり、細工された HTTP レスポンス・ボディによってクラッシュを引き起こす恐れがある。
さらに、CVE-2026-63686 (Low) は、mod_xml2enc において、信頼できないバックエンド・サーバが、文字セット変換が途中まで成功した後に失敗する応答を返すことで、NULL ポインタ参照による DoS を引き起こす可能性がある。
その他にも、Low の脆弱性が複数公表されている。CVE-2026-58415 は、mod_dav_fs において、リモートのクライアントが .DAV 状態ディレクトリへの GET リクエストを介して、作成権限のないリソースの WebDAV デッド・プロパティを読み取れる問題である。CVE-2026-59797 は、mod_ssl の SSLRequire とファイル関連の式に起因する不適切な権限管理の問題であり、CVE-2026-56154 は、先読み (%{LA-U:HTTP:…}) を使用する mod_rewrite の Use After Free である。
また、CVE-2026-56153 は mod_charset_lite のヒープ・オーバーフロー、CVE-2026-46729 は mod_heartmonitor のユニキャスト・リスナーにおける NULL ポインタ参照によるものである。
さらに、CVE-2026-47360 は、内部リダイレクトを跨いで SessionCookieRemove の設定が変化した場合に、mod_session_cookie のセッション・クッキーがバックエンド・サーバへ渡される可能性がある問題であり、CVE-2026-79768 は、絶対パスで非ワイルドカードの UserDir ディレクティブを設定した mod_userdir において、「/./」を含むパスの等価性を悪用した情報漏えいを引き起こす可能性がある。
組織に推奨されるのは、Apache HTTP Server 2.4.69 へ優先的にアップグレードし、一連の問題に対処することである。2.4.69 には、2.4.68 で修正された mod_http2 の DoS (CVE-2026-49975) や、mod_proxy_ftp の無限ループ (CVE-2026-44186)、mod_dav_fs の問題 (CVE-2026-42535) などの修正も引き継がれており、これらの脆弱性の多くは、特定のモジュールと設定の組み合わせによって悪用が可能となるため、迅速なパッチ適用／設定の強化が重要である。
セキュリティ・チームに求められるのは、VirtualDocumentRoot／LimitRequestFieldSize、mod_auth_digest (AuthDigestNcCheck／AuthDigestNonceLifetime)、WebDAV、HTTP/2、フォワード／リバース・プロキシ、UserDir、CGI ディレクトリなどの設定を監査し、使用していないモジュールを無効化するとともに、信頼できないバックエンドへの接続を制限することである。
また、異常に長い Host ヘッダ、PROPPATCH や WebDAV ロックの異常な要求、Digest 認証の再認証の繰り返し、予期しない内部リダイレクト、子プロセス／ワーカー・プロセスのクラッシュなどをログで監視する必要がある。
広く使われている Web サーバソフトである Apache HTTP Server において、メモリ管理の不備や検証不足などに起因する複数のセキュリティ上の欠陥が判明しました。攻撃者による任意の命令実行／サービスの停止／認証の迂回／機密情報の流出といった重大な事象を引き起こす危険性があります。対象は mod_vhost_alias や mod_http2 などの各種Web サーバである Apache HTTP Server の環境において、複数のモジュールや設定に起因するメモリ領域の欠陥などが公表されました。不正なリクエストや細工されたレスポンスの受信により、リモートからのプログラム実行／サービスの異常停止／未認証アクセス／機密情報の流出といった悪影響が生じる危険性があります。
You must be logged in to post a comment.