mod_http2 に、脆弱性（CVE-2026-119618）の暫定対応

Apache HTTP Serverの mod_http2 に、リモートコード実行（RCE）につながる重大な脆弱性（CVE-2026-119618）が発見されました。

参考URL:Apache HTTP Serverに深刻な脆弱性、HTTP/2経由で遠隔コード実行の恐れ 2.4.55～2.4.70が影響

脆弱性の概要

• 対象バージョン: Apache HTTP Server 2.4.55 ～ 2.4.70（単体版の mod_h2 2.0.8 ～ 2.0.42 も対象）
• 深刻度: Critical（CVSSスコア 9.8）
• 内容: assign_headers 処理におけるヒープ破損により、認証なしの遠隔からサーバー上でコードを実行される恐れがあります。
• 修正版: 2026年11月11日にリリースされた Apache HTTP Server 2.4.71 で修正されました

mod_http2が読み込まれているか確認する

今回脆弱性が見つかったmod_http2のモジュールがロードしているかは、httpd -M コマンドの結果で直接確認できます。

# httpd -M | grep http2
 http2_module (shared)
 proxy_http2_module (shared)

脆弱性（CVE-2026-119618）の対応

基本は、dnfコマンドでアップデートすれば対応パッチがダウンロードされますが、RockyLinuxだとまだパッチが対応できていなかったみたいです

# 最新版にアップデート
$ sudo dnf update httpd mod_http2

# アップデートしたバージョンを確認する
$ rpm -qa|grep httpd
httpd-2.4.63-13.el10_2.8.x86_64

$ rpm -qa|grep http2
mod_http2-2.0.29-4.el10_2.2.x86_64 

脆弱性の対応状況は以下となるので、やはりまだ対応できていないみたいです

対象	影響を受けるバージョン	修正の状況
Apache HTTP Server本体	2.4.55～2.4.70	2.4.71で修正済み
mod_h2（単体版）	2.0.8～2.0.42	修正版なし（リポジトリはアーカイブ済み）
Red Hat Enterprise Linux 9/10	各社ビルド	修正パッケージを配布済み（重大度はImportant）
Red Hat Enterprise Linux 8以前	対象外	脆弱なコードを含まない

mod_http2を無効にする

脆弱性に対応したパッチがダウンロードできないので、暫定的に「mod_http2」を無効にします。
手順としては「mod_http2.so」を読み込んでいる設定ファイルの該当行をコメントアウトして、Apacheを再起動します

１．モジュールをロードしている設定ファイルを探す

$ sudo grep -rn "http2" /etc/httpd/
/etc/httpd/conf.modules.d/10-h2.conf:1:LoadModule http2_module modules/mod_http2.so
/etc/httpd/conf.modules.d/10-proxy_h2.conf:1:LoadModule proxy_http2_module modules/mod_proxy_http2.so

２．モジュールを読み込んでいるファイルの該当行をコメントアウトする

$ sudo vim /etc/httpd/conf.modules.d/10-h2.conf
# LoadModule http2_module modules/mod_http2.so

$ sudo  /etc/httpd/conf.modules.d/10-proxy_h2.conf
# LoadModule proxy_http2_module modules/mod_proxy_http2.so

３．apacheを再起動します

$ sudo systemctl restart httpd