Apache HTTP Serverの脆弱性一覧。2.4.68で13件修正（JVNVU#99913823）

Apache HTTP Serverの最新版は2.4.68（2026年6月8日公開）で、配布元の案内を見るかぎり2026年8月20日時点でもこれが最新です。この版は、家庭用のパソコン1台からサーバを数秒で応答不能にできる「HTTP/2 Bomb」（管理番号CVE-2026-49975）を含む13件の欠陥をまとめて直しています。日本語の窓口であるJVNVU#99913823も、この13件をまとめた告知として2026年6月9日に出ています。

ここで多くの人がつまずくのが、バージョン番号だけでは自分が対象かどうか判断できないことです。UbuntuやRed Hat Enterprise Linux（RHEL）などが配るApacheは、番号を上げずに修正部分だけを取り込む「取り込み直し（バックポート）」という方式をとります。たとえばUbuntu 22.04のApacheはapache2 -vで見ると今も「2.4.52」と表示されますが、パッケージが2.4.52-1ubuntu4.21以降ならHTTP/2 Bombは直っています。

HTTP/2 Bombは情報を盗むタイプではなく、サービスを止めるタイプの欠陥です。米CISA（アメリカの情報基盤を守る政府機関）が公開している「実際に攻撃に使われている脆弱性の一覧」の2026年8月19日版にも、本件はまだ載っていません。一方でApacheには、実際に攻撃へ使われたことが確認されている古い番号が別に5件あり、古い版を放置している場合はそちらのほうが差し迫っています。

使っているApacheが対象かどうかを確かめる

確かめる順番は、版数、入手元、HTTP/2を使っているか、の3つです。サーバに入って次のように調べます。

• 版数を見る: httpd -v（RHEL系）または apache2 -v（Ubuntu・Debian系）。Server version: Apache/2.4.68 (Unix) のように出ます
• 入手元を見る: 上の表示で括弧の中が (Ubuntu) や (Red Hat Enterprise Linux) ならOS付属のパッケージです。(Unix) なら自分でソースから入れた版の可能性が高く、その場合は番号がそのまま判断材料になります
• パッケージの細かい番号を見る: dpkg -l apache2（Ubuntu・Debian系）、rpm -q httpd mod_http2（RHEL系・Amazon Linux）。2.4.52-1ubuntu4.21 のような枝番まで確認します
• HTTP/2の部品が読み込まれているか: apachectl -M | grep http2。http2_module が出なければ、HTTP/2 Bombの直接の影響は受けません
• 外から実際にHTTP/2で応答しているか: curl -sI --http2 https://自分のサイト/ | head -1。HTTP/2 200 と返ればHTTP/2が使われています
• 外から版数が見えるか: curl -sI https://自分のサイト/ | grep -i server。Server: Apache/2.4.68 (Unix) のように返ることがあります。設定によっては Server: Apache までしか出ないため、外から見えないこと自体は安全の証拠になりません

配布元のApacheは、2.4系のうち最新版にしか修正を出しません。「2.4.67にHTTP/2 Bombの修正だけを当てた版」は存在しないため、ソースから入れている場合の選択肢は2.4.68への入れ替え1つです。

OSが配るApacheは、番号が古いままでも直っている

各配布元が公表している、HTTP/2 Bombの修正が入ったパッケージの版です。ここに書かれた版か、それより新しい版が入っていれば直っています。RHEL系とAmazon Linuxでは、修正がhttpd本体ではなくHTTP/2の部品（mod_http2）の側に入っている点に注意してください。httpd -vの表示は変わらないため、rpm -q mod_http2で確かめる必要があります。

Debianの場合、修正が入った版でも番号は2.4.67のままです。Apacheの公式一覧では2.4.67は影響ありに分類されるので、番号だけを見ると誤って「まだ危ない」と判断してしまいます。判断の根拠にすべきは配布元の番号ではなく、自分のOSの告知に書かれたパッケージの版です。更新そのものは、apt upgrade や dnf update といった通常の手順で適用できます。AlmaLinux 9も、RHELと同じmod_http2 2.0.26-6.el9_8.1をALSA-2026:25057として出しています。RHELをもとにした他のOSを使っている場合も、それぞれの告知で同じ番号の更新が出ているか確認してください。

JVNVU#99913823には何が書かれているか

JVNは、JPCERT/CCと情報処理推進機構（IPA）が運営している、日本語で脆弱性を知らせる窓口です。今回のApache 2.4.68についてはJVNVU#99913823「Apache HTTP Server 2.4における複数の脆弱性に対するアップデート（2026年6月8日）」が2026年6月9日に公表されています。

ただし、このページに書かれているのは対象製品と参照先だけです。想定される影響も対策も「Apache HTTP Serverのアドバイザリを参照してください」となっていて、実際の内容はApacheの英語のページに置かれています。そこで直っている13件を、部品ごとに整理したのが次の表です。重要度はApache自身が付けたもので、最高でも「中程度（Moderate）」です。ただし同じ13件でもNVD（米国の脆弱性データベース）側の採点は違い、Apacheが「低」としたmod_ldapの不具合（CVE-2026-29167）と設定内の正規表現の不具合（CVE-2026-44631）は10点満点で9.8、WebDAVの不具合（CVE-2026-42535）は9.1とされています。評価が割れているので、片方の数字だけを見て安心も心配もしないほうが安全です。

この中で、HTTP/2 Bomb以外にもう1つ気に留めておきたいのがCVE-2026-44119です。サイトごとの設定ファイル（.htaccess）に細工を書ける立場の人が、本来見えないはずの他の利用者のファイルをApacheの権限で読み取れてしまうもので、1台のサーバを複数の顧客で共有しているレンタルサーバ事業者には直接効きます。それぞれの原文はApache公式の脆弱性一覧にあります。細かく切り分ける時間がなければ、2.4.68に相当する版へ上げれば13件すべて塞げます。

HTTP/2 Bombで何が起きるのか

HTTP/2は、Webページを速く表示するために2015年に標準化された通信方式です。HTTP/2 Bombは、この方式に備わった2つの仕組みを重ねて悪用し、サーバのメモリを一気に食い尽くして応答できない状態に追い込みます。情報の漏えいや乗っ取りではなく、サービスそのものを止める種類の攻撃で、技術的な分類は「過大なサイズのメモリ確保（CWE-789）」です。攻撃にログイン（認証）は不要で、外からHTTP/2でつながれるサーバなら誰でも標的になり得ます。Red Hatは自社の分析で「既定のHTTP/2設定で起きる」と述べ、深刻度を4段階で上から2番目の「重要（Important）」としています。

仕組みは2つの組み合わせです。1つ目は「HPACK」というヘッダー圧縮の悪用です。HTTP/2では、一度送った見出し（ヘッダー）をサーバが一時表に覚えておき、次からは「さっきの何番目」という1バイトの指示だけで呼び出せます。攻撃者はほとんど中身のない見出しを1個だけ覚えさせ、あとは1バイトの指示を何千回も送ります。中身が空でも、サーバは呼び出されるたびに1件分の管理領域を用意するため、発見元の計測ではApacheで1バイトあたり約4,000バイトが積み上がりました。以前から知られていた「大きな中身を覚えさせて何度も呼ぶ」やり方には、展開後の合計サイズに上限を設ける対策が入っていましたが、今回は中身が空なので、その上限に引っかかりません。見出しの個数に上限を設けていたApacheとEnvoyでも、クッキーは仕様上いくつにも分けて送ってよいことになっており、分けた分が個数に数えられていませんでした。

2つ目は通信量を調整する「フロー制御」の悪用で、攻撃者が「もう受け取れない」とサーバに告げて応答の完了をわざと止め、メモリを抱え込んだまま離さない状態を作ります。重ねると、わずかな送信量で大量のメモリを長時間つかんだままにできます。Apacheの修正は、分けて送られたクッキーも見出しの個数として数えるようにするものです。

発見元のCalif.ioが公開した実測では、100Mbpsの一般的な回線につないだ家庭用パソコン1台で、次のような結果が出ています。送った量に対して何倍のメモリが膨らむかを「増幅率」として示しています。

この欠陥を見つけたのは人間の研究者ではなく、OpenAIのコーディング支援AI「Codex」でした。決め手になった2つの手口はどちらも10年ほど前から個別には知られていて、Codexが見抜いたのは組み合わせると桁違いになるという一点です。Apacheの謝辞にも「Calif.IOのQuang Luong、OpenAI Codexとの共同作業」と記載されています。脆弱性の発見にAIが使われるようになれば、同じことは攻撃側にも起こり得ます。攻撃と防御の両面でAIが加速している状況の一例です。

Apacheの前でHTTP/2を受けている機器はどうなのか

HTTP/2 Bombは、特定の製品のバグというより、HTTP/2の実装に共通して潜んでいた弱点です。ただし対応の出し方は製品ごとにばらばらで、同じ攻撃に別の管理番号が振られていたり、番号との対応が公表されていなかったりします。2026年8月20日時点で確かめられた範囲を整理します。

Microsoftについては読み違えに注意が必要です。同社の更新情報にはCVE-2026-49975の項目がありますが、その中身は同社のLinux（Azure Linux）に入っているApacheとnginxのパッケージを新しくするもので、IIS本体の修正ではありません。IISを使っている場合は、修正が出ているという前提で判断しないほうが安全です。

Envoyは別の管理番号で修正済みです。同じ攻撃がEnvoyではCVE-2026-47774として2026年6月3日に告知されており、クッキーの大きさが数え漏れることと、HPACKで展開したあとの大きさに上限がないことの2つが原因だと説明されています。修正が入ったのは1.35.11・1.36.7・1.37.3・1.38.1の各版です。CVE-2026-49975で検索してもEnvoyの告知は出てこないため、Apacheの番号だけで探すと「Envoyは未修正」と誤解します。

さくらインターネットは、2026年6月4日の18時30分から20時20分にかけて緊急メンテナンスを行い、さくらのレンタルサーバ（ライト／スタンダード／プレミアム／ビジネス／ビジネスプロ）、マネージドサーバ、レンタルサーバのリセール向けサービスでHTTP/2を一時的に無効にし、HTTP/1.1へ切り替えました。表示速度がわずかに落ちる可能性はあるものの、サイトの閲覧や機能そのものに問題はないという説明でした。コンテンツブースト（配信を各地の拠点から代行するCDNという仕組み）やウェブアクセラレータを使っている場合は、この期間もHTTP/2のまま利用できるとされています。

この一時無効化はすでに解除されています。さくらインターネットは6月22日から7月2日にかけて対象サーバのnginxを新しい版に入れ替え、脆弱性の解消を確認したうえで7月2日にHTTP/2を再有効化したと7月3日に告知しました。表示速度が落ちていた事象も解消したとされています。つまり、さくらのレンタルサーバを借りている人が2026年8月20日時点でこの件のために行う作業はありません。

AWSのApplication Load Balancer（ALB）の後ろでApacheを動かしている場合、インターネットからのHTTP/2はALBが受け止めます。ALBにはrouting.http2.enabledという設定があり、既定は有効です。これを無効にすると、利用者はHTTP/1.1でしか接続できなくなります。一方、ALBが背後のサーバへ転送するときの形式はターゲットグループの「プロトコルバージョン」という設定で決まり、AWSの文書では既定でHTTP/1.1が使われると明記されています。この既定のままなら、利用者がHTTP/2で接続してもApacheへはHTTP/1.1で届くため、ApacheのHTTP/2処理には入りません。逆にこの設定をHTTP/2へ変えている場合は、ApacheへHTTP/2のまま渡るので影響を受けます。自分のターゲットグループの設定を確かめてください。なおAWSからCVE-2026-49975についてALB向けの告知は確認できていないため、ALB自身がどう扱っているかは分かりません。EC2の上でApacheを動かしているなら、Amazon Linuxのmod_http2の更新は別途必要です。

nginxを使っている場合は、あわせて注意点があります。発見元は1.29.8以降への更新を勧めていて、1.29.8では1つの接続で受け取るヘッダー数の上限を決めるmax_headers（既定1000）が入りました。nginx自身の脆弱性一覧に本件の番号は載っておらず、変更履歴でも機能追加として書かれています。ただしUbuntuは同じCVE-2026-49975の番号でnginxの修正版を配っており（USN-8398-1、2026年6月8日）、MicrosoftもAzure Linux向けにnginxを更新しています。さくらインターネットが恒久対応として入れ替えたのもnginxでした。nginxも対象と考えて更新するのが安全です。さらに1.29.8はもう古く、その後に別の欠陥が複数出ているため、nginx公式の脆弱性一覧が2026年8月20日時点で「影響なし」としている版は1.31.3以降、または安定版なら1.30.4以降です（最新は1.31.4）。nginx側の状況は別の記事にまとめています。

Apache HTTP Serverのサポート期限と、いま攻撃されている番号

配布元のApacheが更新を出しているのは2.4系だけです。公式の案内には「それより前の版はセキュリティ更新を受け取っておらず、使うべきではない」と明記されていて、2.2系の脆弱性一覧は2017年で、2.0系は2013年で、1.3系は2010年で止まっています。2.4系の中でも修正が出るのは最新版だけで、古い番号に個別の修正版が出ることはありません。OS付属のApacheを使っている場合は、そのOSのサポート期間内であれば配布元が取り込み直した更新を出し続けます。期限を確かめる相手はApacheではなく、自分のOSの配布元です。

ソースから入れたApacheをそのまま使い続けている場合、番号が古いほど未修正の欠陥が積み上がります。Apache公式の一覧を数えると、その番号のあとに直った件数は次のようになります。OS付属のパッケージにはあてはまりません。

件数の多さより差し迫っているのは、実際に攻撃へ使われている番号を踏んでいないかです。米CISAが公開している一覧の2026年8月19日版に載っているApache HTTP Serverの欠陥は次の5件で、HTTP/2 Bombはここに入っていません。古い版を使い続けている場合、危険度の順序は本件よりこちらが上です。

W3Techsの2026年8月20日時点の調査では、Webサーバの種類が判明しているサイトのうち22.6%がApacheです。台数が多いぶん、古い版が残っている環境も残り続けます。

すぐに更新できないときにできること

検証の都合などですぐ更新できない場合、HTTP/2 Bombに限ってはHTTP/2をやめれば入口が塞がります。さくらインターネットが6月の緊急作業で選んだのもこの方法でした。表示は少し遅くなりますが、サイトの機能そのものは変わりません。

• Apacheの設定で Protocols h2 h2c http/1.1 と書かれている行から h2 と h2c を外し、Protocols http/1.1 にして再読み込みする
• それでも残る場合は、HTTP/2の部品自体を読み込まない設定にする（Ubuntu・Debian系なら a2dismod http2）
• 前段にロードバランサーやCDNを置いているなら、そちらでHTTP/2の受付を切る。AWSのALBなら routing.http2.enabled を無効にする
• 切ったあとは curl -sI --http2 https://自分のサイト/ | head -1 で確かめる。HTTP/1.1 で始まる行が返れば切れています
• メモリの急な増加と応答の遅れを監視しておく

ただしこれは応急策で、2.4.68に相当する版で直る欠陥のうち、HTTP/2と関係しない11件はそのまま残ります。更新の代わりにはなりません。

いまの危険度をどう見るか

起きるのはサービスの停止であって、情報の漏えいやサーバの乗っ取りではありません。広く悪用されている様子も、いまのところありません。一方で、ログイン不要で、安い回線1本で、攻撃を再現するコードも公開済みという条件は、仕掛けるための敷居がとても低いことを意味します。停止した分の売上や問い合わせ対応、原因調査を背負うのは運用する側です。悪用が始まってから慌てるより、修正版を当てておくほうが安く済みます。

よくある質問

更新履歴

• ▸2026年8月20日: 2.4.68が引き続き最新であることをApacheの配布ページで確認。OSごとの修正済みパッケージ（Ubuntu 26.04を含む）、JVNVU#99913823の中身（13件の内訳）、AWSのロードバランサーでの扱い、実際に攻撃されているApacheの5件を追加。さくらインターネットが7月2日にHTTP/2を再有効化して対応を終えたこと、Envoyが別番号のCVE-2026-47774として修正済みであることを反映。nginx・Microsoft・Cloudflare Pingoraについても公式の告知で確かめられる範囲に記述を直した。Apacheの利用シェアを22.6%に更新
• ▸2026年6月9日: 公開

参照元

• ▸JVN - JVNVU#99913823（Apache HTTP Server 2.4における複数の脆弱性に対するアップデート）
• ▸Apache HTTP Server 2.4 脆弱性一覧（2.4.68で直った13件）
• ▸Apache HTTP Server ダウンロード（最新版と公開日）
• ▸Apache HTTP Server セキュリティ報告（更新対象の版について）
• ▸NVD - CVE-2026-49975
• ▸Calif.io - Codex discovered a hidden HTTP/2 Bomb（発見元の技術解説と実測値）
• ▸Ubuntu Security - CVE-2026-49975（版ごとの修正状況）
• ▸Debian Security Tracker - CVE-2026-49975
• ▸Red Hat - CVE-2026-49975（深刻度と修正パッケージ）
• ▸Amazon Linux Security Center - CVE-2026-49975
• ▸さくらインターネット - HTTP/2の脆弱性対策に伴う、サーバー設定一時変更のお知らせ
• ▸さくらインターネット - 脆弱性対策（恒久対応）完了に伴う、HTTP/2再有効化のお知らせ
• ▸Envoy - HTTP/2 memory exhaustion via cookie header size bypass and HPACK amplification（CVE-2026-47774）
• ▸Ubuntu Security Notice USN-8398-1（nginx の修正）
• ▸AWS - Application Load Balancer（routing.http2.enabled の説明）
• ▸AWS - ターゲットグループ（プロトコルバージョンの既定値）
• ▸nginx - 変更履歴（1.29.8 の max_headers 追加）
• ▸nginx - セキュリティ情報一覧
• ▸CISA - 実際に攻撃されている脆弱性の一覧
• ▸CWE-789: Memory Allocation with Excessive Size Value
• ▸W3Techs - Apache の利用シェア