しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

Apache HTTP Serverに計21件の脆弱性（2026年10月1日公開）とは？ 2.4.69への更新と設定条件の確認を解説

・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングApacheWebサーバーアップデート

この記事のポイント: Apache Software Foundationは2026年10月1日、Apache HTTP Server 2.4系の21件の脆弱性を修正した2.4.69を公開し、JVN（JVNVU#94648869）が10月2日に注意喚起しました。重要度はmoderate 5件・low 16件で、WebDAVやHTTP/2、Digest認証など構成によって悪用条件が変わります。対策は修正版2.4.69への更新です。

Apache HTTP Serverに計21件の脆弱性（2026年10月1日公開）とは？ 2.4.69への更新と設定条件の確認を解説

The Apache Software Foundationは2026年10月1日、Apache HTTP Server 2.4系の複数の脆弱性を修正したApache HTTP Server 2.4.69を公開しました。JVNは2026年10月2日、この内容をJVNVU#94648869として注意喚起しています（出典: JVN、2026年10月2日取得）。

修正されたのは計21件で、重要度は「moderate」5件と「low」16件、critical・importantは含まれていません（出典: Apache Software Foundation、2026年10月2日取得）。すべての脆弱性に共通する対策は、サーバーを2.4.69へ更新することです。Webサーバーを自前で運用している管理者は、まず利用中のバージョンをhttpd -v（あるいはディストリビューションのパッケージ情報）で確認してください。

moderateの5件：悪用に管理者権限や特殊な構成が条件

moderate 5件は、どれも悪用に一定の条件があります。WebDAVを有効にしているサーバーはCVE-2026-42528（mod_davのロック作成権限を持つ利用者による子プロセスのクラッシュ）とCVE-2026-93546（書き込み権限を持つ認証済みWebDAVクライアントが多数のXML名前空間を含むPROPPATCHを送り、ワーカープロセスのクラッシュとプロパティDBの恒久的な破損を起こす）が該当します（出典: Apache Software Foundation、2026年10月2日取得）。

low 16件のうち、運用者に届きやすいものとしてはmod_dav_fsのプロパティDBが`.DAV`ステートディレクトリへのGETで読み取れるCVE-2026-58415、Digest認証の設定（AuthDigestNcCheckやAuthDigestNonceLifetime 0）が絡むCVE-2026-48005／CVE-2026-73636／CVE-2026-73637、フォワードプロキシ構成で信頼できないFTPサーバーに接続するときのCVE-2026-63045などがあります。mod_proxy_uwsgiを使う構成では、細工されたuwsgiバックエンドによるHTTPレスポンススマグリング（CVE-2026-63718）が対象です（出典: Apache Software Foundation、2026年10月2日取得）。

自分のサーバーが対象か確認する方法

確認は3ステップです。1つ目はバージョン確認（httpd -v、Debian／Ubuntu系ではapache2 -v）。2.4.69未満の2.4系であれば本アドバイザリの各CVEの悪用条件に当たるかを確認します。2つ目はモジュールと設定の確認（mod_dav・mod_http2・mod_proxy_uwsgi・mod_auth_digest・mod_vhost_aliasを有効にしているか）。3つ目はディストリビューションの提供形態の確認で、OSのパッケージ（apt・yum・dnfなど）で運用している場合は、公式のApache配布物ではなくディストリビューションの修正版が提供されるまで、セキュリティ更新の通知を待って適用するのが安全です（出典: Apache Software Foundation、2026年10月2日取得）。

更新までの間の軽減策としては、悪用条件に当たる機能（WebDAVの書き込み権限、フォワードプロキシ、LimitRequestFieldSizeの拡大など）の利用をやめるか権限を絞る方法があります。外部に公開するサーバーほど早い更新を推奨します。また、Webサーバーの更新はログイン機能のあるサイトでは不正ログイン対策の一部でもあります。サーバーが改ざんされた場合に備え、管理画面のアカウントには二段階認証を入れる、パスワードの使い回しをやめるといった利用者側の対策も合わせて有効です。

よくある質問

Q. importantやcriticalが無いのに更新が必要なのはなぜ？

21件の多くは悪用条件が限定的（WebDAV権限、特定の設定、Windows環境など）ですが、条件が揃えばDoSや情報漏えい、設定によっては任意コード実行につながる可能性が公式に記載されています（出典: Apache Software Foundation、2026年10月2日取得）。公開サーバーでは条件の有無を1台ごとに判断するより、2.4.69への更新を基本とする方が漏れがありません。

Q. レンタルサーバーやマネージドホスティングの場合はどうする？

運営者がApacheのバージョンを管理しているため、利用者側の作業は不要です。事業者の障害情報やセキュリティ更新のお知らせを確認し、Apacheの更新が完了した事業者であれば追加の対応はありません。PHPやCGIで動かすアプリのログイン機能には、別途二段階認証が使えるサービスであれば設定しておくと、サーバー側の脆弱性の影響を受けた場合のアカウント乗っ取りの被害を小さくできます。

Q. 2.2系や古い2.4系を使っている場合は？

Apache HTTP Server 2.2系は既にサポートが終了しており、今回の修正版も提供されません。2.4.69へ移行するか、ディストリビューションのサポート対象の版を使い続けるのが実務上の対応になります（出典: JVN、2026年10月2日取得）。なお今回の各CVEの影響バージョンは主に2.4.0〜2.4.68です。

出典: JVN JVNVU#94648869「Apache HTTP Server 2.4における複数の脆弱性に対するアップデート（2026年10月1日）」（jvn.jp、2026年10月2日取得）／Apache Software Foundation「Fixed in Apache HTTP Server 2.4.69」（httpd.apache.org、2026年10月2日取得）。ROOT TEAMはパスワード流出やアカウント乗っ取りの被害に遭われた方向けに、被害後の初動手順をまとめた対処ガイドを公開しています。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針