【緊急】Apache HTTP Server CVE-2026-57941 ほか計20件：2.4.69で修正（CVSS 9.8、Apache自身の評価は「中」）— 2.4.68以前は更新を

Apache HTTP Server 2.4.69 が2026年10月1日に公開され、2.4.68 以前の20件の脆弱性が修正されました。NVDに載っているCVSS（CISAが付けた v3.1）は、20件のうち3件が9.8（CVE-2026-57941・CVE-2026-56154・CVE-2026-59797）で、16件が7.0以上です。ところがApache自身は、この20件を「中（moderate）5件・低（low）15件」と評価しており、「重要」以上はありません。JVN（JPCERT/CCとIPAの脆弱性情報サイト）も10月2日に更新を呼びかけています。

先に、分かっていることと分からないことを分けます。この記事を確認した10月13日の時点で、悪用が確認されたとする資料は見つかっていません。CISAのKEV（悪用が確認された脆弱性のカタログ）には、10月13日に取得した版（更新日時は10月8日）で、この20件とも載っていません。CISAがNVDに付けた評価でも、20件すべてが「悪用状況：なし」です。
ただし、「悪用が確認されていない」は「安全」ではありません。Apacheは公開サーバーの定番で、20件の多くがネットワーク越しに届くものです。公開から12日たっているため、まだ更新していないなら、いま更新する理由は十分にあります。

今すぐ行う対策

• ✓まず、動かしているApacheの版を確認する。サーバーで `httpd -v`、`apache2 -v` または `apachectl -v` を実行します。表示が 2.4.69 なら、この件は対応済みです。2.4.68 以前なら、次の項目へ進んでください（Windowsは、Apacheの配布元が第三者のビルドを案内しているので、そのビルドの提供元の案内を確認します）
• ✓自分でビルドした、または公式の配布物を使っているなら、2.4.69 へ更新する。ダウンロードは公式の配布ページにあります。更新したら、サービスを停止してから起動し直し（`systemctl restart` など、使っているサービス管理の再起動）、もう一度 `-v` で版を確認してください。設定の再読み込み（reload や graceful）だけでは、新しいバイナリに切り替わらないことがあります（Apacheの公式文書は、graceful な再起動では親プロセスが残ると書いています）
• ✓OSのパッケージで入れたApacheは、版番号だけで判断しない。ディストリビューションは、版番号を上げずに修正だけを取り込む（バックポート）ことがあります。下の「OS付属のApache」の節のとおり、Ubuntuは古い版番号のまま CVE-2026-57941 が修正済みですが、Debianの bookworm・trixie は10月13日の時点で「vulnerable（未修正）」と表示されています。自分のOSの追跡ページで、自分の版を確かめてください
• ✓更新を適用する。OSのパッケージ管理ツールで、Apacheのセキュリティ更新が出ていれば適用します（Debian系なら `apt list --upgradable` で `apache2` が出るか確認）。出ていなければ、OSの提供元が対応するのを待つか、公式の 2.4.69 へ移る選択になります
• ✓すぐ更新できないなら、公式の緩和策は出ていないので、使っている機能で絞る。Apacheは、この20件に対する回避策を告知に書いていません。下の「修正された20件」の節で、使っていないモジュール（WebDAV、mod_proxy_ftp、mod_userdir など）の項目は、当てはまらないことが多いです（当サイトの補足で、公式の手順ではありません）

影響を受ける版と修正版（Apacheの告知より）

• ▸修正版は Apache HTTP Server 2.4.69（2026年10月1日公開）です。公式の配布ページで、この版が現行の安定版と案内されています
• ▸影響を受ける版は、多くが 2.4.0 から 2.4.68 までです。モジュールによっては範囲が狭く、たとえば mod_http2 の CVE-2026-57941 は 2.4.17〜2.4.68、CGIの内部リダイレクトの CVE-2026-42356 は 2.4.60〜2.4.68、mod_proxy_uwsgi の CVE-2026-63718 は 2.4.30〜2.4.68、mod_proxy_html の CVE-2026-56449 は 2.4.68 だけです
• ▸Windows版だけに関わる項目が1件あります。CVE-2026-59685 は、8.3形式の短い名前を含むパスの処理に関するもので、Apacheの説明は「on Windows」です
• ▸2.4.69 より前の 2.4 系で、これを直す別の修正版（2.4.68 の追加リリースなど）は、公式の一覧に見当たりません。更新先は 2.4.69 です

「CVSS 9.8」と、Apacheの評価「低」「中」がずれている

この記事の見出しの9.8は、Apacheが付けた点数ではありません。NVDのページに載っているCVSS v3.1は、20件とも付与元が「CISA-ADP」（CISAがNVDに付けた評価）で、NIST自身の評価は、10月13日に取得した時点で見当たりません。一方、Apacheの告知に載っているのは、点数ではなく「重要度（low・moderate など）」だけです。Apacheは、この評価が「環境によって変わりうる」と、2.4系の脆弱性一覧のページに書いています。

• ▸CVE-2026-57941（mod_http2）：CISAのCVSSは 9.8（CRITICAL）、Apacheの評価は「moderate」
• ▸CVE-2026-56154（mod_rewrite）：CISAは 9.8、Apacheは「low」。Apacheの説明は、先読み（`%{LA-U:HTTP:...}`）を使ったときの use-after-freeです
• ▸CVE-2026-59797（mod_ssl）：CISAは 9.8、Apacheは「low」。SSLRequire と、ファイルに関する式（.htaccess から使える ap_expr の関数）に関する権限の問題です

どちらを採るかは、読者の環境で決まります。CVSSは「最悪の条件がそろったときの深刻さ」を点数にしたもので、Apacheの評価は「その欠陥が普通の運用でどれだけ起こりうるか」を見た印象に近い、というのが当サイトの読み方です（Apacheが評価の根拠を細かく説明しているわけではありません）。条件が合うかどうかは、自分の設定を見ないと分かりません。たとえば mod_rewrite の先読み、mod_http2 の有効化、.htaccess の許可のどれを使っているかで、当てはまる範囲が変わります。迷うなら、更新で全件を消すのがいちばん確実です。

修正された20件（Apache自身の評価別）

括弧内の数字は、NVDに載っているCISAのCVSS v3.1です。条件は、Apacheの説明に書かれているものを短くまとめたものです。完全な条件は、Apacheの一覧の各項目で確認してください。

• ▸【Apacheの評価：moderate（中）・5件】
• ▸CVE-2026-57941（9.8）：mod_http2 の use-after-free（共有バッファの再入）。2.4.17〜2.4.68
• ▸CVE-2026-59685（7.5）：Windowsで、8.3形式の短い名前を含むパスを処理するときの境界外書き込み
• ▸CVE-2026-63292（7.5）：mod_vhost_alias のスタックオーバーフロー。8192バイトを超える Host ヘッダで、VirtualDocumentRoot がホスト名の書式指定子を使い、かつ LimitRequestFieldSize を既定より大きくしている場合に、DoS（サービス停止）や任意コード実行の可能性があります
• ▸CVE-2026-42528（4.3）：mod_dav の共有ロックのオーバーフロー。WebDAVのロックを作れる権限のある攻撃者が、子プロセスを落とせます
• ▸CVE-2026-93546（8.8）：mod_dav_fs の名前空間の整数オーバーフロー。書き込み権限のあるWebDAVクライアントが、多数のXML名前空間を宣言した PROPPATCH で子プロセスを落とし、プロパティのデータベースを壊せます
• ▸【Apacheの評価：low（低）・15件】
• ▸CVE-2026-56154（9.8）：mod_rewrite の use-after-free（`%{LA-U:HTTP:...}`）
• ▸CVE-2026-59797（9.8）：mod_ssl の SSLRequire と .htaccess の ap_expr のファイル関数による権限の問題
• ▸CVE-2026-73636（8.1）：mod_auth_digest のワンタイムnonceの再送攻撃。中間者（MITM）が、クライアントの共有メモリのエントリを消させる（ガベージコレクションを起こす）リクエストを送って再送します。AuthDigestNonceLifetime が 0 のときです
• ▸CVE-2026-73637（7.3）：mod_auth_digest の use-after-free。AuthDigestNcCheck が有効、または AuthDigestNonceLifetime が 0 のとき、同時リクエストで認証状態が壊れます
• ▸CVE-2026-48005（7.5）：mod_auth_digest で、偽の Authorization ヘッダにより再認証を強制できる（AuthDigestNcCheck が有効なとき）
• ▸CVE-2026-46729（7.5）：mod_heartmonitor（unicast リスナー）の NULL ポインタ参照
• ▸CVE-2026-47360（7.5）：mod_session_cookie で、SessionCookieRemove が内部リダイレクトをまたいで変わるとき、セッションクッキーがバックエンドへ渡ることがある
• ▸CVE-2026-56153（7.5）：mod_charset_lite のヒープオーバーフロー
• ▸CVE-2026-56449（7.5）：mod_proxy_html の境界外書き込み。細工されたHTTP応答の本文で起きます（2.4.68 だけ）
• ▸CVE-2026-58415（5.3）：mod_dav_fs で、権限のない人が .DAV の状態ディレクトリを GET して、WebDAVの属性を読める
• ▸CVE-2026-63045（7.5）：mod_proxy_ftp のPASV応答の検証不足。フォワードプロキシの設定で、信頼できないFTPサーバーが第三者のホストへの接続を開かせられます
• ▸CVE-2026-63686（7.5）：mod_xml2enc の NULL ポインタ参照。信頼できないバックエンドの応答で、文字コードの変換が一部成功してから失敗するとき
• ▸CVE-2026-63718（7.5）：mod_proxy_uwsgi の Transfer-Encoding による応答スマグリング（2.4.30〜）
• ▸CVE-2026-79768（5.3）：mod_userdir で、絶対パス・ワイルドカードなしの UserDir の設定のとき、パスの「/./」による情報漏えい
• ▸CVE-2026-42356（3.7）：CGIプログラムからの内部リダイレクトで、CGIが有効なディレクトリ内にあり、mod_mime が理解する別の拡張子を持たないファイルがCGIとして実行される「限定的なRCE」（2.4.60〜）

OS付属のApacheは、版番号だけで判断しない

2.4.69 を自分で入れていなくても、直っていることがあります。ディストリビューションは、修正だけを古い版番号のパッケージへ取り込む（バックポート）ことがあるからです。ここに書いたのは CVE-2026-57941 についての、10月13日の確認結果です。残りの19件は、それぞれの追跡ページで確認していません。

• ▸Ubuntu：追跡ページでは、26.04 LTS は 2.4.66-2ubuntu2.5、24.04 LTS は 2.4.58-1ubuntu8.16、22.04 LTS は 2.4.52-1ubuntu4.24 以降が「Fixed（修正済み）」です。20.04 LTS と 18.04 LTS は、Ubuntu Pro の拡張セキュリティ保守（ESM）で修正が提供されると書かれています。16.04 と 14.04 は「Not affected」です
• ▸Debian：追跡ページでは、bookworm（2.4.68-1~deb12u1）と trixie（2.4.68-1~deb13u1）は「vulnerable」で、修正済みと表示されるのは 2.4.69-1（forky・sid）です。セキュリティ用のリポジトリ側のパッケージ（bookworm は 2.4.67-1~deb12u3、trixie は 2.4.67-1~deb13u3）も「vulnerable」です
• ▸確認の手順：自分のOSの追跡ページで、自分のパッケージの版が「Fixed」の版以上かを見ます。`apache2 -v` が 2.4.58 と出ても、Ubuntu 24.04 で `8.16` 以降の修正版を入れていれば、CVE-2026-57941 については修正済みです
• ▸Red Hat系（RHELなど）とその他のOSは、この記事では確認していません。それぞれの提供元の案内を見てください

何が起きたか（日付つき）

• ▸2026年10月1日：Apache HTTP Server 2.4.69 が公開され、20件の脆弱性の修正が告知されました。同日に、20件のCVEがNVDにも載りました（CISAが同日にCVSSとSSVCを付けています）
• ▸10月2日：JVNが「Apache HTTP Server 2.4における複数の脆弱性に対するアップデート（2026年10月1日）」を公表しました（JVNVU#94648869）。内容は、Apacheのアドバイザリを参照するよう案内するものです
• ▸10月13日（本記事の確認日）：Debianの bookworm・trixie は CVE-2026-57941 が「vulnerable」、Ubuntu は修正済み（上の節）。CISAのKEVには、20件とも載っていません（10月8日更新版）

悪用について、分かっていることと分からないこと

分かっていること。Apacheの告知は、修正版と影響範囲を示しています。悪用を確認したとは、書かれていません。CISAのKEVにも載っておらず、NVDに載っているCISAのSSVC評価は、20件すべてで「悪用状況：なし」です。そのうちCVE-2026-57941・CVE-2026-56154・CVE-2026-59797 の3件は、「自動化できる（automatable: yes）」「技術的影響は全面的（total）」とされています。

分からないこと。公開から12日たった今も、攻撃コードが出回っているか、実際に攻撃されたかは、確認できる資料がありません。悪用の記述が無いことを、安全の根拠にしないでください。

確認できなかったこと

• ▸CVSS 9.8 の3件が実際に成り立つ設定の条件。Apacheの告知は、CVE-2026-57941・56154・59797 について、どの設定なら外部から届くかを詳しく書いていません。自分の環境で当てはまるかは、使っているモジュールと設定で確かめてください
• ▸NIST自身のCVSS評価。NVDに載っているCVSSは、CISA-ADPが付けたものです。NISTの評価が付くと、数字が変わることがあります
• ▸残り19件のディストリビューション別の修正状況。この記事で確認したのは、CVE-2026-57941 の Ubuntu と Debian だけです
• ▸侵害の痕跡（IoC）。公式資料に、検知用のログの形やファイル名は出ていません
• ▸公式の緩和策。Apacheは、この20件に対する回避策を告知に書いていません。上の「条件」は、Apacheの説明文から当サイトが整理したものです

共有するならこの3行

• ▸Apache HTTP Server 2.4.69（2026年10月1日）で20件の脆弱性が修正された。NVDのCVSSは3件が9.8（CVE-2026-57941・56154・59797）だが、Apache自身の評価は「中」5件・「低」15件
• ▸2.4.68以前は 2.4.69 へ更新し、サービスを停止・起動し直して `httpd -v` で確認。OS付属のApacheは版番号ではなくOSの追跡ページで確認（Ubuntuは修正済みの版あり、Debian bookworm・trixieは10月13日時点で未修正）
• ▸悪用の確認は無い（KEV未掲載・CISAの評価は「悪用なし」）が、「安全」ではない。公開サーバーは早めに