---
title: "JVNが公表したApache HTTP Server 2.4系の複数脆弱性：2.4.68・2.4.69の33件の影響範囲とディストリ別の修正状況"
url: "https://www.issoh.co.jp/tech/details/12478/"
published: 2026-06-12
updated: 2026-10-24
categories: ["脆弱性・インシデント"]
publisher: "株式会社一創"
---

# JVNが公表したApache HTTP Server 2.4系の複数脆弱性：2.4.68・2.4.69の33件の影響範囲とディストリ別の修正状況

2026年6月9日、JPCERT/CCとIPAが共同運営する脆弱性情報ポータルJVNが、JVNVU#99913823「Apache HTTP Server 2.4における複数の脆弱性に対するアップデート（2026年6月8日）」を公開しました。2.4.68で直った13件の周知です。10月1日には2.4.69が出て、翌2日のJVNVU#94648869で20件が加わりました。本記事では33件を影響版・モジュール・CISA-ADPの評価つきで一覧にし、評価が割れるCVEの読み方、RHEL・Ubuntu・Debian・Amazon LinuxでのCVEごとの修正状況、自社サーバが該当するかを絞り込む手順を、2026年10月24日時点の一次情報で示します。

## まとめ：2026年10月24日時点の影響範囲と対応の結論

- **上流の最新は2.4.69**（2026年10月1日）。2.4.69で直った20件はすべて2.4.68を含むため、2.4.68に上げた環境も対象。
- Apacheの評価は最大moderateだが、CISA-ADPは**5件を9.8 CRITICAL**と評価した（mod\_ldapの29167、正規表現の44631、mod\_rewriteの56154、mod\_http2の57941、mod\_sslの59797）。Red Hatは同じ5件を4.6〜8.1と評価しており、ADPの数字だけで順番を決めると前提条件を見落とす。
- ディストリの対応は割れている。Ubuntu 24.04は主要CVEを修正済み、Debian 12は2.4.69分が未修正、RHEL 9はmod\_http2の57941が未修正（10月24日時点）。
- JPCERT/CCの注意喚起は2026年のApache HTTP Serverについて出ていない（10月23日時点）。CISA KEVにも2026年のhttpdのCVEは無い（10月23日版）。PoCが公開されているのはHTTP/2のDoS（CVE-2026-49975）。

ディストリ別の更新コマンドと2.4.67の11件は[Apache HTTP Server 2.4の脆弱性まとめ：CVE-2026-33523ほか2.4.67〜2.4.69の対応手順](/tech/details/12051/)に分けています。

## JVNとJPCERT/CCの公表の読み方：2026年に出た3回のApache関連発表

### JVNVU#99913823・JVNVU#94648869とApache公式アドバイザリの関係

[JVNVU#99913823](https://jvn.jp/vu/JVNVU99913823/)と[JVNVU#94648869](https://jvn.jp/vu/JVNVU94648869/)は、影響を受けるシステム・想定される影響・対策のいずれも「Apache HTTP Serverのアドバイザリを参照してください」と案内する形式です。CVEごとの中身は[Apache公式の脆弱性一覧](https://httpd.apache.org/security/vulnerabilities%5F24.html)にあり、JVNの役割は国内の管理者への周知です。5月の2.4.67の回（JVNVU#99705957）だけは、CVEごとの影響版と想定される影響を日本語で列挙していました。JVNのページにCVEの詳細が見当たらないのはこのためです。

### JPCERT/CC注意喚起が出ていないことの意味と読み方の基準

JPCERT/CCの「注意喚起」は、悪用が確認された場合や影響が大きい場合に絞って出る文書です。[2026年の注意喚起一覧](https://www.jpcert.or.jp/at/2026.html)は10月23日の更新時点でPHP・NetScaler・F5 BIG-IP等を載せていますが、Apache HTTP Serverの件はありません。2021年のCVE-2021-41773では、公表翌日の10月6日にJPCERT-AT-2021-0043が出ています。

「JVN掲載のみ・注意喚起なし」は、JPCERT/CCがその時点で注意喚起の対象（一覧ページの説明では「深刻且つ影響範囲の広い脆弱性など」）と判断していない状態にすぎず、国内での悪用の有無を示すものではありません。PoCの公開や悪用の確認で状況は変わるので、JVN掲載の時点で対応計画を立て始めてください。

### 2026年のApache 2.4系リリースとJVN公表の時系列

| 日付         | 発表主体   | 内容                     |
| ---------- | ------ | ---------------------- |
| 2026-05-04 | Apache | 2.4.67公開、11件修正         |
| 2026-05-08 | JVN    | JVNVU#99705957（2.4.67） |
| 2026-06-08 | Apache | 2.4.68公開、13件修正         |
| 2026-06-09 | JVN    | JVNVU#99913823（2.4.68） |
| 2026-10-01 | Apache | 2.4.69公開、20件修正（最新）     |
| 2026-10-02 | JVN    | JVNVU#94648869（2.4.69） |

Apacheの公開から1〜4日でJVNに載っています。[JVNの公表一覧](https://jvn.jp/report/index.html)では、JVNVU#94648869の後、10月23日までApache HTTP Serverの新しい公表はありません。9月24日のJVNVU#94625787と10月21日のJVNVU#93110597は、別製品のApache Tomcatの公表です。

## 2.4.68で修正された13件の影響範囲とモジュール別の前提条件

Apache公式の一覧の13件に、[NVDに載ったCISA-ADPのCVSS](https://nvd.nist.gov/vuln/detail/CVE-2026-29167)を並べます。影響版の「〜2.4.67」は公式の表記に下限が無いものです。

| CVE            | Apache   | ADP | 影響版           | モジュールと前提                   |
| -------------- | -------- | --- | ------------- | -------------------------- |
| CVE-2026-29167 | low      | 9.8 | 2.4.0〜2.4.67  | mod\_ldap（ディレクトリ単位設定）      |
| CVE-2026-29170 | low      | 6.1 | 〜2.4.67       | mod\_proxy\_ftp（FTP一覧のXSS） |
| CVE-2026-34355 | moderate | 7.5 | 2.4.0〜2.4.67  | mod\_proxy\_html（非信頼の中継先）  |
| CVE-2026-34356 | low      | 7.5 | 2.4.0〜2.4.67  | ProxyPassReverseCookieMap  |
| CVE-2026-42535 | moderate | 9.1 | 〜2.4.67       | mod\_dav\_fs（WebDAV書込権限者）  |
| CVE-2026-42536 | low      | 7.5 | 2.4.0〜2.4.67  | mod\_xml2enc（信頼できない内容）     |
| CVE-2026-43951 | moderate | 6.5 | 2.4.0〜2.4.67  | mod\_headers＋mod\_mime     |
| CVE-2026-44119 | moderate | 5.5 | 2.4.0〜2.4.67  | .htaccessの式（ローカル作成者）       |
| CVE-2026-44185 | low      | 7.3 | 2.4.0〜2.4.67  | mod\_ssl（攻撃者のOCSPサーバ）      |
| CVE-2026-44186 | moderate | 7.3 | 2.4.0〜2.4.67  | mod\_proxy\_ftp（攻撃者のFTP）   |
| CVE-2026-44631 | low      | 9.8 | 2.4.0〜2.4.67  | 設定中の細工した正規表現               |
| CVE-2026-48913 | low      | 7.3 | 2.4.55〜2.4.67 | mod\_http2（ファイルハンドル枯渇時）    |
| CVE-2026-49975 | moderate | 7.5 | 2.4.17〜2.4.67 | mod\_http2（細工したリクエスト）      |

13件のうち5件が、mod\_proxy\_html・mod\_xml2enc・mod\_proxy\_ftp・ProxyPassReverseCookieMapといった、中継先から受け取ったデータを解釈する部品です。外部の匿名利用者がそのまま狙えるのはHTTP/2の2件で、残りは「中継先が悪意を持つ」「.htaccessやWebDAVに書き込める」「LDAPをディレクトリ単位で設定している」といった前提が要ります。

### CVE-2026-48913：ファイルハンドル枯渇時のmod\_http2解放後使用

CVE-2026-48913は、ファイルハンドルが既に枯渇している状態でmod\_http2が解放済みのメモリを使う問題です。対象は2.4.55〜2.4.67と狭く、Apacheはlow、ADPは7.3、Red HatはModerate 7.3、Amazon Linuxは6.5と評価しています。RHEL 8のmod\_http2とAmazon Linux 2は対象外です。

前提が「ハンドルの枯渇」なので、更新までの間はプロセスの上限と使用数を見張るのが現実的な手当てです。ubuntu:24.04のapache2で `grep 'open files' /proc/<PID>/limits` で上限を、`ls /proc/<PID>/fd | wc -l` で使用数を見ると、上限は8192、起動直後の使用数は8でした。使用数が上限に近づくサーバ（大量の静的ファイルやログを開く構成）ほど条件を満たしやすくなります。HTTP/2が不要ならmod\_http2を外せば対象から外れます。

### HTTP/2のDoSでPoCが公開されたCVE-2026-49975

CVE-2026-49975は2.4.17〜2.4.67のmod\_http2で、細工したリクエストによりメモリを過大に確保させるDoSです。[NVDの参照](https://nvd.nist.gov/vuln/detail/CVE-2026-49975)にはExploitタグ付きのPoCがあり、ADPのSSVCもexploitation=pocです。NVDの参照にExploitタグが付き、SSVCがpocになっているのは、33件のうちこの1件だけです（10月24日時点）。Red HatはImportantとし、RHEL 9のmod\_http2は6月10日に修正済みです。HTTP/2を公開しているサーバの更新期限はこの1件を基準に決めてください。

### .htaccess経由で任意ファイルを読めるCVE-2026-44119と共有環境

CVE-2026-44119は、.htaccessを作成できるローカルユーザーがhttpd実行ユーザーの権限でファイルを読める権限管理の不備です（ADP 5.5・攻撃元区分はローカル）。2.4.67のCVE-2026-24072、2.4.69のCVE-2026-59797（mod\_sslのSSLRequire経由）と同種で、.htaccessの式評価は3回続けて直っています。複数の契約者が1台を共有するレンタルサーバーでは、他の契約者の設定ファイルにあるデータベース接続情報を読まれる恐れがあります。`AllowOverride None` と `AllowOverrideList None` の両方が対象ディレクトリに適用され、.htaccessが無視される環境では、この経路の前提が成立しません。

## 2.4.69で追加修正された20件と2.4.68利用環境に残る影響範囲

2.4.69の20件です。16件は2.4.0〜2.4.68（または〜2.4.68）が対象で、例外はCVE-2026-57941（2.4.17〜）、CVE-2026-63718（2.4.30〜）、CVE-2026-42356（2.4.60〜）、CVE-2026-56449（2.4.68のみ）の4件です。どれも2.4.68を含みます。

| CVE            | Apache   | ADP | モジュールと前提                             |
| -------------- | -------- | --- | ------------------------------------ |
| CVE-2026-42356 | low      | 3.7 | CGIディレクトリ内の内部リダイレクト                  |
| CVE-2026-42528 | moderate | 4.3 | mod\_dav（WebDAVロックの作成権限）             |
| CVE-2026-46729 | low      | 7.5 | mod\_heartmonitor（ユニキャスト受信）          |
| CVE-2026-47360 | low      | 7.5 | mod\_session\_cookie（内部リダイレクト）       |
| CVE-2026-48005 | low      | 7.5 | mod\_auth\_digest（AuthDigestNcCheck） |
| CVE-2026-56153 | low      | 7.5 | mod\_charset\_lite                   |
| CVE-2026-56154 | low      | 9.8 | mod\_rewrite（LA-U:HTTP:の参照）          |
| CVE-2026-56449 | low      | 7.5 | mod\_proxy\_html（細工した応答）             |
| CVE-2026-57941 | moderate | 9.8 | mod\_http2（解放後使用）                    |
| CVE-2026-58415 | low      | 5.3 | mod\_dav\_fs（.DAVの読み取り）              |
| CVE-2026-59685 | moderate | 7.5 | Windows版（8.3形式のパス）                   |
| CVE-2026-59797 | low      | 9.8 | mod\_ssl（.htaccess内のSSLRequire）      |
| CVE-2026-63045 | low      | 7.5 | mod\_proxy\_ftp（フォワードプロキシ）           |
| CVE-2026-63292 | moderate | 7.5 | mod\_vhost\_alias（Host長の緩和）          |
| CVE-2026-63686 | low      | 7.5 | mod\_xml2enc（信頼できないバックエンド）           |
| CVE-2026-63718 | low      | 7.5 | mod\_proxy\_uwsgi（応答スマグリング）          |
| CVE-2026-73636 | low      | 8.1 | mod\_auth\_digest（ノンス再送）             |
| CVE-2026-73637 | low      | 7.3 | mod\_auth\_digest（並行要求）              |
| CVE-2026-79768 | low      | 5.3 | mod\_userdir（絶対パスのUserDir）           |
| CVE-2026-93546 | moderate | 8.8 | mod\_dav\_fs（書き込み権限者）                |

mod\_auth\_digestだけで3件（2.4.67のCVE-2026-33006を含めれば2026年に4件）あり、2.4.69ではRFC 2069方式のサポート削除も入りました。Digest認証を残している環境は、外部の認証基盤へ移す検討を始める時期です。

### CVE-2026-57941：mod\_http2の解放後使用とRed Hatの評価

CVE-2026-57941は、mod\_http2のセッション内で共有されるバッファ（session->bbtmp）の再入による解放後使用・不正書き込みです。Apacheはmoderate、ADPは9.8で、NVDの状態は分析済み（Analyzed）ですが、NVD自身のスコアは付いていません（10月24日時点）。[Red Hatの評価](https://access.redhat.com/security/cve/CVE-2026-57941)はModerate 7.0で、確認された影響はワーカーのクラッシュ（DoS）にとどまり、それ以上のメモリ破壊は示されていないと説明しています。

RHEL 8〜10ではhttpd本体は対象外で、別パッケージのmod\_http2が未修正です（10月24日時点）。Red Hatが示す暫定策は、`/etc/httpd/conf.modules.d/10-h2.conf` の `LoadModule http2_module` をコメントアウトして再起動することです。Debian 12（bookworm）も未修正で、修正済みはDebian 13（trixie）の2.4.69-1\~deb13u1（DSA-6569-1）です。

### CVE-2026-56154：mod\_rewriteの%{LA-U:HTTP:…}を使う設定の見つけ方

CVE-2026-56154は、mod\_rewriteが先読み（lookahead）でリクエストヘッダを参照する `%{LA-U:HTTP:...}` を使うときの解放後使用です。Apacheはlow、ADPは9.8、Red HatはImportant 8.1と、3者で評価が分かれる1件です。該当する設定書式が示されているので、設定と.htaccessを検索すれば該当を判断できます。

```
grep -RnE 'LA-U:HTTP:' /etc/httpd /var/www    # Debian・Ubuntu系は /etc/apache2
```

ubuntu:24.04の検証環境で、.htaccessに `%{LA-U:HTTP:X-Forwarded-User}`、別の設定に `%{LA-U:REMOTE_USER}` を書いて実行すると、前者の1行だけが出ました。ヘッダを参照しない `LA-U:REMOTE_USER` は対象の書式ではありません。RHEL 9は10月22日のRHSA-2026:88229（httpd-2.4.62-13.el9\_8.9）で修正され、RHEL 8と10は未修正です。

### RCEの可能性があるmod\_vhost\_aliasとCGI内部リダイレクトの2件

CVE-2026-63292は、VirtualDocumentRootでホスト名の書式指定を使い、かつLimitRequestFieldSizeを既定より上げた構成で、8192バイトを超えるHostヘッダによりスタックオーバーフローが起きる問題です。Red HatはImportant 8.1とし、LimitRequestFieldSizeを既定の8190バイト以下に保つことを暫定策に挙げています。

CVE-2026-42356は、CGIプログラムからの内部リダイレクト先がCGIとして実行される問題です。対象は2.4.60〜2.4.68で、リダイレクト先がCGI有効のディレクトリにあり、mod\_mimeが知る拡張子を持たないことが条件です。RHEL 8は対象外（Not affected）、RHEL 9と10は修正見送り（Fix deferred）、Ubuntuは10月24日時点で未判定（needs-triage）です。

## 評価が割れるCVEの読み方：Apache・CISA-ADP・Red Hatの3者比較

ADPが9.8とした5件を、Apache・Red Hat・Amazon Linuxの評価と並べます。

| CVE            | Apache   | ADP | Red Hat       | Amazon | 成立の前提                   |
| -------------- | -------- | --- | ------------- | ------ | ----------------------- |
| CVE-2026-29167 | low      | 9.8 | Low 4.6       | 5.9    | mod\_ldapをディレクトリ単位で設定   |
| CVE-2026-44631 | low      | 9.8 | Moderate 7.7  | –      | 設定に細工した正規表現             |
| CVE-2026-56154 | low      | 9.8 | Important 8.1 | 4.8    | %{LA-U:HTTP:…}を使用       |
| CVE-2026-57941 | moderate | 9.8 | Moderate 7.0  | 5.6    | HTTP/2を有効化              |
| CVE-2026-59797 | low      | 9.8 | Moderate 5.5  | 5.5    | .htaccessでSSLRequireを許可 |

5件のADPのベクトルはすべて `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`（ネットワーク越し・攻撃条件なし・認証不要・影響最大）で、モジュールを読み込んでいるか、特定の設定や.htaccessの書き込み権限が要るかといった前提は数字に入っていません。[Red HatはCVE-2026-29167の説明](https://access.redhat.com/security/cve/CVE-2026-29167)で、ADPの9.8を「解放後使用に機械的に付けた最悪値」と書き、mod\_ldapが既定で読み込まれないこと、ディレクトリ単位の設定でしか起きないこと、子プロセスが落ちても親が立て直すため現実の影響はDoSだと述べています。CVE-2026-59797ではADPが攻撃元区分をネットワーク（AV:N）としたのに対し、Red HatとAmazonはローカル（AV:L）の5.5です。.htaccessに書き込める立場が要ることを数字に反映したかどうかの違いです。

### 前提条件で決める対応の優先順位

1. 該当モジュールを読み込んでいるか。読み込んでいなければその件は対象外。
2. 攻撃者が前提を満たす立場に立てるか（外部の匿名利用者か、.htaccessの作成者か、中継先のサーバか）。
3. 成立したときに失うものは何か（サービス停止、他テナントの情報、サーバの乗っ取り）。

外部の匿名利用者が狙えるHTTP/2の49975・57941と、該当設定がある場合の56154が最優先です。CVSSの読み方そのものは[CVSSv3とは？v3.1の計算式・スコアの目安と3つの評価基準を解説](/tech/details/5094/)を参照してください。

### 共有ホスティング・リバースプロキシ・HTTP/2公開サーバ別の判断

共有ホスティングは.htaccess系（44119・59797）が他の契約者の情報漏えいに直結するため、Apacheの評価がlowでも緊急扱いにします。リバースプロキシは、外部APIや利用者のサーバへ中継していればプロキシ系を早めに潰します。HTTP/2を公開しているサーバは、RHELのようにmod\_http2の修正が出ていない間はHTTP/2の一時停止を選んでください。WAFは外部からの細工リクエストには時間稼ぎになりますが、.htaccessや中継先の内側から来る攻撃は防げません（[WAFとは？仕組み・ファイアウォール／IPS・IDSとの違いと企業の選び方を解説](/tech/details/13275/)）。

避けたい失敗は2つです。1つは暫定対策を入れた時点で対応票を閉じ、本来の更新が宙に浮くことで、暫定対策の票には更新期限を併記します。もう1つは更新直後の検証の省略です。2025年7月10日の2.4.64では `RewriteCond expr` がすべて真と評価される不具合（[2.4系の変更履歴](https://downloads.apache.org/httpd/CHANGES%5F2.4)ではCVE-2025-54090）が入り、7月23日の2.4.65で直りました。リライトルールでアクセス制御をしているサイトは、更新後にその挙動を確かめてから本番に出してください。

## ディストリ別の修正状況：RHEL・Ubuntu・Debian・Amazon Linux

主要なCVEについて、各ディストリのセキュリティトラッカーを10月24日に確認した結果です。日付は修正パッケージの公開日です。Ubuntu 24.04の版は先頭の2.4.58-1を省略しており、例えばubuntu8.16は2.4.58-1ubuntu8.16を指します。

| CVE            | RHEL 9               | Ubuntu 24.04 | Debian 12 | Debian 13 | AL2023   |
| -------------- | -------------------- | ------------ | --------- | --------- | -------- |
| CVE-2026-29167 | 修正 08-25             | ubuntu8.15   | 修正        | 修正        | 修正 06-22 |
| CVE-2026-48913 | 修正 08-25（mod\_http2） | ubuntu8.15   | 修正        | 修正        | 修正 06-22 |
| CVE-2026-49975 | 修正 06-10（mod\_http2） | ubuntu8.13   | 修正        | 修正        | 修正 06-22 |
| CVE-2026-57941 | 未修正（mod\_http2）      | ubuntu8.16   | 未修正       | 修正        | 修正 10-12 |
| CVE-2026-56154 | 修正 10-22             | ubuntu8.16   | 未修正       | 修正        | 修正 10-12 |
| CVE-2026-59797 | 修正見送り                | ubuntu8.16   | 未修正       | 修正        | 修正 10-12 |
| CVE-2026-63292 | 修正 10-22             | ubuntu8.17   | 未修正       | 修正        | 修正 10-12 |
| CVE-2026-42356 | 修正見送り                | 未判定          | 未修正       | 修正        | 修正 10-12 |

出典は[Red Hat CVEデータベース](https://access.redhat.com/security/cve/CVE-2026-56154)、[Ubuntu CVEトラッカー](https://ubuntu.com/security/CVE-2026-57941)、[Debianセキュリティトラッカー](https://security-tracker.debian.org/tracker/CVE-2026-57941)、[Amazon Linuxセキュリティセンター](https://explore.alas.aws.amazon.com/CVE-2026-57941.html)です。Debian 12は2.4.68-1\~deb12u1で止まっており、2.4.69で直った分は未修正のままです。

### 版番号が古いままでも修正済みになるUbuntuとchangelogでの確かめ方

Ubuntu 24.04は `apache2 -v` が `Apache/2.4.58 (Ubuntu)` のまま、修正をパッケージに取り込みます。表示の版では判定できないので、パッケージの変更履歴をCVE番号で検索します。

```
# Debian・Ubuntu系
dpkg-query -W -f='${Version}\n' apache2
zcat /usr/share/doc/apache2/changelog.Debian.gz | grep -c CVE-2026-57941

# RHEL・AlmaLinux系（mod_http2は別パッケージ）
rpm -q httpd mod_http2
rpm -q --changelog httpd mod_http2 | grep -c CVE-2026-57941
```

10月24日にubuntu:24.04で実行すると版は2.4.58-1ubuntu8.17で、57941・56154・59797・63292・48913は1件以上ヒットし、42356は0件でした。almalinux:9（9.8）ではhttpd-2.4.62-13.el9\_8.9とmod\_http2-2.0.26-6.el9\_8.2が入り、56154と63292はヒット、57941は0件でした。トラッカーの表と一致します。0件のときは、まず `zcat` や `rpm` がエラーなく変更履歴を出力しているかを確かめ、そのうえで導入済みの完全な版番号を配布元のトラッカーと照合します。トラッカーでも未修正なら、修正が出るまで暫定策を入れてください。

## 自社サーバの該当判定：版・モジュール・利用形態で絞り込む手順

### 版とモジュールと関係する設定を一度に洗い出す確認コマンド

次のコマンドで、版、表に出てくるモジュール、前提条件に関わる設定をまとめて表示します。Debian・Ubuntu系は `apache2ctl` を使います。`/etc/apache2/envvars` を読み込まずに `apache2 -M` を直接実行すると、環境変数が未定義のため `AH00111: Config variable ${APACHE_RUN_DIR} is not defined` で止まることをubuntu:24.04で確認しています。

```
# RHEL系（ソースビルドは実際の設定パスに変更。Debian・Ubuntu系は httpd を apache2ctl に、/etc/httpd を /etc/apache2 に置き換える）
httpd -v
httpd -M | grep -E 'http2|ldap|dav|proxy_html|xml2enc|proxy_ftp|proxy_uwsgi|auth_digest|vhost_alias|userdir|session_cookie|charset_lite|heartmonitor|rewrite|ssl|headers|mime|proxy_module'
grep -RnE 'AllowOverride|VirtualDocumentRoot|LimitRequestFieldSize|ProxyPass|^\s*Dav |AuthType Digest|Protocols|LA-U:HTTP:' /etc/httpd
```

表に載ったモジュールが読み込まれていれば該当候補です。`AllowOverride` が None 以外なら.htaccess系、`ProxyPass` の中継先に外部や利用者のサーバがあればプロキシ系、`Protocols` に h2 があればHTTP/2系の前提を満たします。ubuntu:24.04で `a2enmod http2` を実行すると、`mods-enabled/http2.conf` に `Protocols h2 h2c http/1.1` が入ることもこのgrepで確認できました。

### 複数台・コンテナ・製品内蔵のApacheで起きる確認漏れ

漏れやすいのは、開発・検証環境、止まっていると思われていたサーバ、コンテナイメージ、アプライアンスや商用製品に内蔵されたApacheです。公式Dockerイメージの `httpd:2.4` は10月21日のビルドで2.4.69になっており、既定の設定で読み込むモジュールは25個、http2・rewrite・ldap・davはいずれも含みません。古いタグに固定したイメージは再ビルドしない限り更新されません。製品内蔵のものはベンダーの告知を待つため、問い合わせ先も棚卸しで控えます。記録はサーバ名、版、該当モジュール、前提条件の有無、対応状況の5項目にしておくと次の公表でもそのまま使えます。外部から見えるバージョン表示や設定の不備を第三者の目で洗い出すなら、一創の[脆弱性診断・セキュリティ診断](/service/system/vulnerability/)で公開サーバをまとめて確認できます。

## よくある質問

### JPCERT/CCは今回のApacheの脆弱性で注意喚起を出していますか？

2026年10月23日時点で出ていません。2.4.67・2.4.68・2.4.69のいずれもJVNの「VU」として公表されています。注意喚起は悪用の確認や影響の大きさで絞って出る文書で、2021年のCVE-2021-41773では出ました。当時の攻撃文字列の読み方は[CVE-2021-41773・CVE-2021-42013とは｜Apache 2.4.49・2.4.50のRCEとログに来る攻撃文字列の読み方](/tech/details/8306/)で解説しています。

### 2.4.68に更新済みですが、まだ対応が必要ですか？

必要です。2.4.69で直った20件はすべて2.4.68を含み、CVE-2026-56449は2.4.68だけが対象です。HTTP/2を有効にしていればADPが9.8と評価したCVE-2026-57941が残ります。ディストリのパッケージを使っているなら、変更履歴に該当CVEがあるかを確かめてください。

### HTTP/2を使っていなければ影響はありませんか？

HTTP/2の3件（48913・49975・57941）は対象外になります。ただしmod\_rewriteの56154、.htaccess経由の44119・59797、プロキシやWebDAV系など、HTTP/2と無関係な問題が多数あります。有効モジュールと設定を一覧で確かめてください。

### RHELではCVE-2026-56154は修正済みですか？

RHEL 9は2026年10月22日のRHSA-2026:88229（httpd-2.4.62-13.el9\_8.9）で修正済みです。RHEL 8と10は10月24日時点で未修正（Affected）です。Red Hatは暫定策として、設定と.htaccessから `%{LA-U:HTTP:...}` を探して置き換えるか、不要ならmod\_rewriteを無効にする方法を挙げています。

### 「Apache/2.4.68 (Debian)」と表示されるサーバは2.4.69の修正が入っていますか？

その表示だけでは判定できません。配布元と完全なパッケージ版番号を確認してください。Debian 12（bookworm）の公式パッケージ2.4.68-1\~deb12u1は、2.4.68で直った13件は修正済みですが、2.4.69で直った57941・56154・63292などは未修正のままです（10月24日時点）。Debian 13（trixie）は2.4.69-1\~deb13u1で修正済みです。

## 関連記事

- [Apache HTTP Server 2.4の脆弱性まとめ：CVE-2026-33523ほか2.4.67〜2.4.69の対応手順](/tech/details/12051/)
- [CVE-2021-41773・CVE-2021-42013とは｜Apache 2.4.49・2.4.50のRCEとログに来る攻撃文字列の読み方](/tech/details/8306/)
- [脆弱性診断とは？種類・費用相場・進め方と外注時の判断基準を解説](/column/details/13101/)
- [Webサーバーのセキュリティ対策｜IPA20ヶ条と優先順位づけ](/column/details/2490/)
- [WAFとは？仕組み・ファイアウォール／IPS・IDSとの違いと企業の選び方を解説](/tech/details/13275/)

---

出典: [JVNが公表したApache HTTP Server 2.4系の複数脆弱性：2.4.68・2.4.69の33件の影響範囲とディストリ別の修正状況](<https://www.issoh.co.jp/tech/details/12478/>)（株式会社一創）