Apache HTTP Serverにおける複数の脆弱性（CVE-2026-119618、CVE-2026-106023、CVE-2026-109163）への対応状況のお知らせ
Apache HTTP Serverにおける複数の脆弱性（CVE-2026-119618、CVE-2026-106023、CVE-2026-109163）について、RCMSでの対応状況をお知らせします。
Apache HTTP Serverプロジェクトは、2026年11月11日にApache HTTP Server 2.4.71を公開しました。このリリースでは、次の3件の脆弱性が修正されています。
| CVE | 深刻度 | 内容 | 影響を受けるバージョン |
|---|---|---|---|
| CVE-2026-119618 | Critical | mod_http2の競合状態により、リモートから任意のコードを実行される可能性があります。 | 2.4.55〜2.4.70 |
| CVE-2026-106023 | Important | mod_mdのNULLポインター参照により、HTTPリクエストの処理中に子プロセスがクラッシュする可能性があります。 | 2.4.30〜2.4.70 |
| CVE-2026-109163 | Low | mod_vhost_aliasにおけるスタックバッファーオーバーフロー（1バイト）です。 | 2.4.69、2.4.70 |
RCMSでは、一部の仮想専用サーバプラン・オンプレミス提供プランでApache HTTP Serverを利用していますが、mod_md・mod_vhost_aliasは利用していません。また、標準構成ではCVE-2026-119618の影響を受ける構成・設定に該当しません。
対応状況
| プラン | ステータス | 内容 |
|---|---|---|
| スタンダードプラン | 影響なし | Apache HTTP Serverを利用していないため、影響はありません。 |
| 仮想専用サーバプラン | 対応済み | mod_md・mod_vhost_aliasは利用しておらず、CVE-2026-119618の影響を受ける構成・設定にも該当しないため影響はありませんが、弊社でApache HTTP Serverのアップデートを完了しました。 |
| オンプレミス提供プラン | お客様対応推奨 | 標準構成ではmod_md・mod_vhost_aliasを利用しておらず、CVE-2026-119618の影響を受ける構成・設定にも該当しないため、影響はありませんが、HTTP/2の通信を受け付ける設定になっていないかの確認と、Apache HTTP Serverの速やかなバージョンアップを推奨します。 |
ステータスの意味は、ステータスの定義を参照してください。
参考
お問い合わせ先
本件についてご不明点がございましたら、ご利用中のプランを明記のうえ、RCMSサポートまでお問い合わせください。