Apache HTTP Server（httpd）の mod_http2 に存在するリモートコード実行の脆弱性 CVE-2026-119618 について、Red Hat の公式情報（CVE ページ、errata）と Apache HTTP Server Project の公開情報を基に、Red Hat 製品での影響範囲と修正の有無を整理します。
本記事は 2026年11月13日時点の情報です。Red Hat はこの脆弱性について Security Bulletin（RHSB）を発行しておらず、情報は CVE ページと各 errata で提供されています。JBoss Core Services など未修正の製品があり、今後更新される可能性があります。
概要
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-119618（mod_http2: heap corruption and RCE in assign_headers） |
| 影響するソフトウェア | Apache HTTP Server の HTTP/2 モジュール（mod_http2）。httpd 2.4.55〜2.4.70、および単体配布の mod_h2 2.0.8〜2.0.42 |
| 影響の内容 | HTTP/2 のレスポンスヘッダーを割り当てる処理（assign_headers）で、ワーカースレッドがコネクションスレッドの所有するメモリへ排他制御なしに書き込む競合状態。ヒープ破壊により、認証不要のリモート攻撃者が任意コード実行、情報の取得、サービス停止を引き起こす可能性がある |
| 攻撃の条件 | HTTP/2 が有効であること（mod_http2 がロードされ、Protocols ディレクティブで h2 または h2c を提供している）。HTTP/1.1 のみを提供するサーバーは影響を受けない |
| 深刻度（Apache） | critical |
| 深刻度（Red Hat） | 脆弱性全体の評価は Critical。CVSS v3.1: 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。RHEL 9 / RHEL 10 は Important |
| 深刻度（NVD） | 未評価（11月13日時点） |
| 上流の修正版 | Apache HTTP Server 2.4.71（2026年11月11日公開）。単体配布の mod_h2 には修正版なし |
| 発見者 | Anthropic の OSS Scanner（10月26日報告）、Google Cloud Vulnerability Research の Anthony Weems 氏と Simon Scannell 氏（11月3日報告） |
| 悪用状況 | 実環境での悪用報告はなく、CISA KEV にも未収載（11月13日時点）。Red Hat は CVE ページで「公開された研究が、mod_http2 を有効にした既定構成のサーバーに対する信頼性の高いエクスプロイトを実証している」と記載。一方、Wiz は11月12日に「エクスプロイトは出回っておらず、悪用も報告されていない」と説明している |
| 緩和策 | Apache、Red Hat とも公式の回避策は示していない。修正パッケージの適用が対策。即時に適用できない場合の暫定措置は後述 |
出典：Red Hat CVE-2026-119618、Apache HTTP Server 2.4 vulnerabilities
Red Hat の深刻度評価の根拠
Red Hat は脆弱性全体を Critical（CVSS 9.8）と評価したうえで、RHEL 9 と RHEL 10 については Important としています。CVE ページの Statement に記載された根拠は次のとおりです。
- 認証不要のリモートコード実行が可能であり、mod_http2 を有効にした既定構成のサーバーに対する信頼性の高いエクスプロイトが公開研究で実証されているため、Critical と評価した
- 原因は、ワーカースレッドが、コネクションスレッドの所有するメモリへ、ロックを持たない共有アロケーター経由で書き込むことにある
- 悪用はこの共有アロケーターに依存するため、深刻度は製品によって異なる
- RHEL 9 と RHEL 10 の mod_http2 は、HTTP/2 のストリームごとに別のアロケーターからメモリを割り当てる。これにより悪用が大幅に難しくなるため、Important と評価した
- mod_http2 2.0.8 より前のバージョンには該当コードが含まれないため、RHEL 8 以前は影響を受けない
Red Hat は RHEL 9 / 10 を「影響なし」とはしていません。評価が Important に下がる理由は悪用の難しさであり、脆弱なコードは含まれています。
php2shell（CVE-2026-109618 / 109619）や node2shell（CVE-2026-111497）と同じく、上流と Red Hat で深刻度の表示が異なる案件です。脆弱性スキャナが Critical と報告する一方、RHEL 向けの errata は Important として発行されています。
影響範囲（Red Hat 製品）
| 製品 | 影響 | 備考 |
|---|---|---|
| Red Hat Enterprise Linux 10 | 影響あり | mod_http2 パッケージ。深刻度 Important。修正済み |
| Red Hat Enterprise Linux 9 | 影響あり | mod_http2 パッケージ。深刻度 Important。修正済み |
| Red Hat Enterprise Linux 8 | 影響なし | httpd:2.4 モジュールの mod_http2 は 1.15.7 で、該当コード（2.0.8 以降）を含まない |
| Red Hat Enterprise Linux 7 以前 | 影響なし | 該当コードを含まない |
| JBoss Core Services | 影響あり | 11月13日時点で修正の記載なし |
| Red Hat Hardened Images | 影響あり | 11月13日時点で修正の記載なし |
| RHEL / UBI ベースのコンテナイメージ（httpd イメージなど） | 影響の可能性あり | Container Health Index で修正状況を確認。ベースイメージ更新後に再ビルドが必要 |
| RHEL の httpd / mod_http2 を利用する階層製品 | 影響の可能性あり | 基盤 RHEL の mod_http2 パッケージを更新する |
影響を受けない条件
- mod_http2 パッケージがインストールされていないシステム
- mod_http2 がインストールされていても、
Protocolsディレクティブで h2 / h2c を提供していない（HTTP/1.1 のみを提供している）サーバー - RHEL 8 以前の httpd
※ JBoss Core Services と Red Hat Hardened Images の状況は、Red Hat の CVE ページを引用した報道に基づきます。OpenShift Container Platform、Satellite など httpd を同梱する製品の個別の判定は、11月13日時点の公開情報では確認できませんでした。CVE ページの製品別一覧で確認してください。
出典：Red Hat CVE-2026-119618、The Hacker News（11月12日）
対象パッケージと修正の有無
| 対象 | 修正の有無 | 修正パッケージ | errata（公開日） |
|---|---|---|---|
| RHEL 10 mod_http2 | 修正済み | mod_http2-2.0.29-5.el10_3.1 | RHSA-2026:98978（11月11日） |
| RHEL 10.2 EUS mod_http2 | 修正済み | 版数は errata 本文で確認 | RHSA-2026:98979（11月11日） |
| RHEL 10.0 EUS mod_http2 | 修正済み | 版数は errata 本文で確認 | RHSA-2026:98953（11月11日） |
| RHEL 9 mod_http2 | 修正済み | mod_http2-2.0.26-7.el9_9.1 | RHSA-2026:98981（11月11日） |
| RHEL 9.8 EUS mod_http2 | 修正済み | 版数は errata 本文で確認 | RHSA-2026:98982（11月11日） |
| RHEL 9.6 EUS mod_http2 | 修正済み | 版数は errata 本文で確認 | RHSA-2026:98954（11月11日） |
| RHEL 9 SAP 向け更新サービス mod_http2 | 修正済み | 版数は errata 本文で確認 | RHSA-2026:98968（11月11日） |
| RHEL 8 httpd:2.4 モジュール | 対象外 | 影響なし | — |
| JBoss Core Services | 未修正 | 11月13日時点で修正の記載なし | — |
| Red Hat Hardened Images | 未修正 | 11月13日時点で修正の記載なし | — |
※ RHEL 9 / 10 では mod_http2 は httpd とは別のパッケージです。修正は mod_http2 パッケージの更新で提供され、httpd パッケージ自体のバージョンは変わりません。httpd -v の表示（2.4.x）では修正の有無を判断できません。
※ これらの errata には、mod_http2 の別の脆弱性 CVE-2026-57941（セッションの再入による Use-After-Free、CVSS v3.1 9.8）の修正も含まれています。
※ RHEL の mod_http2 はバージョン番号（2.0.26 / 2.0.29）が据え置きで、リリース番号のみ更新されています（Red Hat のバックポートポリシー）。上流の「httpd 2.4.55〜2.4.70 が脆弱」「mod_h2 2.0.8〜2.0.42 が脆弱」という情報だけで判断するスキャナは、修正済みのシステムを脆弱と報告する場合があります。適用確認は errata 番号と rpm -q --changelog mod_http2 の CVE 記載で行います。
※ RHSA-2026:98968 の対象マイナーリリース（9.4 または 9.6）は出典により表記が異なるため、errata 本文で確認してください。EUS / SAP 向け errata は該当するアドオンサブスクリプションのリポジトリで提供されます。
※ 11月11日には RHEL 8.6 / 8.4 の Long-Life 向けに httpd:2.4 の errata（RHSA-2026:99514 / 99513）も発行されていますが、RHEL 8 は本 CVE の影響を受けないため、別の脆弱性に対する更新です。
出典：Red Hat CVE-2026-119618、各 errata ページ
同時に修正された Apache HTTP Server の脆弱性
Apache HTTP Server 2.4.71 では、CVE-2026-119618 のほかに次の2件が修正されています。
| CVE | 対象 | 内容 | Apache の深刻度 |
|---|---|---|---|
| CVE-2026-106023 | mod_md（httpd 2.4.30〜2.4.70） | NULL ポインタ参照により子プロセスがクラッシュする | important |
| CVE-2026-109163 | mod_vhost_alias（httpd 2.4.69 / 2.4.70） | 1バイトのスタックバッファ上書き | low |
この2件の Red Hat 製品での影響と修正状況は、11月13日時点の公開情報では確認できていません。
なお、2.4.67 では HTTP/2 に関する別の脆弱性（CVE-2026-23918）が修正されていますが、2.4.67〜2.4.70 も CVE-2026-119618 の影響を受けます。
出典：Apache HTTP Server 2.4 vulnerabilities
対応
- mod_http2 の有無を確認する：
rpm -q mod_http2、httpd -M | grep http2 - HTTP/2 を提供しているかを確認する：
grep -rn 'Protocols' /etc/httpd/（VirtualHost ごとの指定も含めて確認する） - errata を適用する：
dnf update mod_http2 - プロセスを再起動する：
systemctl restart httpd。再起動しない限り修正は反映されない - 適用を確認する：
rpm -q mod_http2が上の表の修正パッケージ以降であること、rpm -q --changelog mod_http2 | grep CVE-2026-119618
Satellite / Red Hat Lightspeed（旧 Insights）を利用している環境では、該当 errata が適用対象として表示されます。
修正を即時に適用できない場合の暫定措置
Apache と Red Hat は公式の回避策を示していません。HTTP/1.1 のみを提供するサーバーは影響を受けないと両者が明記していることから、修正を適用するまでの間、HTTP/2 を無効にすることで該当コードへの到達を防げます。セキュリティベンダーの Wiz もこの方法を案内しています。
Protocolsディレクティブから h2 と h2c を外し、Protocols http/1.1とする- サーバー全体の設定は、VirtualHost 内の
Protocols h2 ...の指定を上書きしない。すべての VirtualHost の設定を確認する - HTTP/2 を使わない環境では、mod_http2 パッケージの削除またはモジュールのロード無効化も選択肢になる
- 設定変更後は
systemctl restart httpdで再起動する
HTTP/2 を無効にすると、クライアントとの通信は HTTP/1.1 にフォールバックします。多重化による性能上の利点が失われるため、本番環境では影響を確認したうえで適用してください。パッチの代替ではなく、errata 適用までの暫定措置です。
JBoss Core Services のように修正版が未提供の製品では、この暫定措置が当面の対策になります。
出典：Red Hat CVE-2026-119618、The Hacker News（11月12日）
情報源
- Red Hat CVE-2026-119618
- RHSA-2026:98981 Important: mod_http2 security update（RHEL 9）
- RHSA-2026:98978 Important: mod_http2 security update（RHEL 10）
- RHSA-2026:98982 Important: mod_http2 security update（RHEL 9.8 EUS）
- Red Hat バックポートポリシー
- Apache HTTP Server 2.4 vulnerabilities
- CVE-2026-119618 – CVE Record（cve.org）
- CISA Known Exploited Vulnerabilities Catalog
- The Hacker News: Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotely
更新履歴
| 日時（JST） | 内容 |
|---|---|
| 2026年11月13日 | 初版公開 |
