お問い合わせ

Apache HTTP Server 2.4.71 が公開：深刻度「重大」の脆弱性を修正。自社で管理する Web サーバーは版を確かめる

業務改善
公開日 記事更新日

著者・監修：宮﨑 達也（クリーヴァ株式会社 代表）

2026年11月11日、Web サーバーのソフト Apache HTTP Server の 2.4.71 が公開されました。3つの脆弱性を直した版で、そのうち HTTP/2 の機能（mod_http2）の脆弱性は、開発元が深刻度を4段階で一番上の「重大」としています。任意のコード実行につながるおそれがあり、2.4.55 から 2.4.70 までが対象です。会社の Web サイトや、ブラウザで使う業務システムを自社で管理するサーバーで動かしている場合は、今日のうちに版を確かめてください。

ひと目でわかる

  1. どこで動いているかを知る レンタルサーバーか、自社で管理するサーバーか
  2. Web サーバーのソフトを知る Apache か、ほかのソフトか
  3. 版を確かめる 2.4.55〜2.4.70 なら対象
  4. 更新する 2.4.71 か、OS の提供元の修正版に

自社で確かめること

この記事でわかること

  • 2.4.71 で直った3つの脆弱性と、対象の版
  • レンタルサーバー・自社で管理するサーバー・保守会社に任せている場合の見分け方
  • 今日やることと、保守会社に聞くこと

こんな方に

  • 会社の Web サイトや業務システムのサーバーの管理を、総務や経理と兼任で任されている方

先に結論

会社の Web サイトや業務システムが、どのサーバーで、どの Web サーバーのソフトで動いているかを確かめます。自社で管理するサーバーで Apache HTTP Server 2.4.55〜2.4.70 を使っていれば、2.4.71 か、OS の提供元が修正を取り込んだ版に更新します。保守会社に任せている場合は、適用の予定を聞きます。

2026年11月12日時点の情報です。料金や制度は変わることがあるため、本文の公式の資料へのリンクで最新の内容を確かめてください。

2026年11月11日、Web サーバーのソフト Apache HTTP Server の 2.4.71 が公開されました。Apache HTTP Server は、会社の Web サイトや、ブラウザで使う業務システムを動かすのに広く使われているソフトです。今回は、開発元が深刻度を「重大」とした脆弱性が含まれています。

何が変わったか

項目内容
公開日2026年11月11日（Apache HTTP Server 2.4.71）
重大（critical）HTTP/2 の機能（mod_http2）の脆弱性（CVE-2026-119618）。任意のコード実行（RCE）につながるおそれ。対象は 2.4.55〜2.4.70
重要（important）証明書を自動で取る機能（mod_md）の脆弱性（CVE-2026-106023）。処理をする子プロセスが落ちるおそれ。対象は 2.4.30〜2.4.70
低（low）mod_vhost_alias の脆弱性（CVE-2026-109163）。対象は 2.4.69 と 2.4.70
直した版2.4.71
悪用の状況2026年11月12日時点で、開発元の一覧に悪用の記載はない
公的機関JVN（JPCERT/CC と IPA）が「JVNVU#90805396」を11月12日に公開

脆弱性の中身と対象の版は、開発元の「Apache HTTP Server 2.4 vulnerabilities」で確かめました。深刻度は、開発元が付けている4段階（critical・important・moderate・low）です。

任意のコード実行は、外から送り込まれた命令をサーバーの上で動かされることです。Web サイトの書き換えや、サーバーに置いた顧客の情報の持ち出しにつながるおそれがあります。

自社が関係するかの見分け方

まず、会社の Web サイトと、ブラウザで使う業務システムが、どこで動いているかを確かめます。

当てはまるか何が起きているかやること
共用のレンタルサーバーで Web サイトを動かしているWeb サーバーのソフトの更新は、提供会社が行うことが多い提供会社のお知らせで、対応の予定を確かめる
VPS やクラウドのサーバーを自社で借り、Apache を動かしている自社か保守会社が更新しない限り、直らない版を確かめ、2.4.55〜2.4.70 なら更新する
社内に置いたサーバーで、業務システムを Apache で動かしている同上同上。社外から使えるサーバーから先に
Web サーバーのソフトが Apache ではない（nginx など）今回の脆弱性は関係しない何のソフトかを、記録に残しておく
どこで何が動いているか、分からない判断ができない保守会社か、作った会社に聞く

版を確かめるときの注意があります。OS の提供元（Linux のディストリビューション）から Apache を入れている場合、版番号を変えずに修正を取り込んだ版が出ることがあります。版番号だけで判断せず、OS の提供元のお知らせで、今回の脆弱性が直った版かを確かめてください。

使っているソフトと版の一覧を持っていれば、今回のような知らせのたびに、すぐ関係するかが分かります。一覧の作り方は「古いシステムを延命すると決めたら」で書きました。

今日やること

  1. どこで動いているかを書き出す：会社の Web サイト、問い合わせのフォーム、ブラウザで使う業務システムごとに、レンタルサーバーか、自社で借りたサーバーか、社内のサーバーかを書く
  2. Web サーバーのソフトと版を聞く：自社で借りたサーバーと社内のサーバーについて、Apache か、版はいくつかを、保守会社か担当者に聞く
  3. 対象なら更新の予定を決める：2.4.55〜2.4.70 なら、2.4.71 か OS の提供元の修正版に更新する。社外から使えるサーバーから先に
  4. 更新のあと動きを確かめる：Web サイトの表示、フォームの送信、業務システムのログインを試す
  5. レンタルサーバーなら知らせを見る：提供会社のお知らせで、対応の予定を確かめる

保守会社に聞くこと

  • 自社の Web サイトと業務システムのサーバーで、Apache HTTP Server を使っているか。使っていれば版はいくつか
  • 2.4.71（または OS の提供元の修正版）を、いつ適用するか
  • 適用のあと、何を確かめるか

重大な脆弱性のたびに慌てないための平時の準備は、「PHPの重大な脆弱性はその後どうなったか」の「平時に決めておく5つのこと」にまとめています。PHP の話ですが、ソフトと版の一覧、更新の担当と費用の決め方は、Apache でも同じです。

そのほかの動き

  • OpenSSH の認証回避の脆弱性：JPCERT/CC によると、OpenSSH 10.6p2 より前に、特定の条件（musl libc を使う Linux で、PAM による認証が無効、パスワード認証が有効など）がそろうとパスワードなしでログインされるおそれのある脆弱性があり、悪用の観測も報告されています。国内では Alpine Linux をもとにした商用製品での利用が確認されています（JPCERT/CC）。社内にネットワーク機器やアプライアンスがあれば、提供元のお知らせを確かめてください。
  • ソフトバンクの Airターミナル6：v1.01.80 以前に、管理画面にログインできる人が任意のコマンドを実行できる脆弱性があります。開発者によると、修正済みのファームウェアが自動で適用されるため、利用者の対応は不要です（JVN#64740097）。
  • Microsoft の11月の更新：悪用が確認された Outlook の脆弱性を含む月例の更新が、11月11日に公開されています。確かめ方は「Microsoft の11月の更新」で書きました。
  • PostgreSQL 14 の最後の更新：11月12日に、14.25 を含む更新が出ました。中身は「PostgreSQL の11月の更新で52件の脆弱性を修正」で書きました（11月13日に追記）。

クリーヴァに相談するとき

会社の Web サイトや業務システムが、どこで、何のソフトで動いているか分からない場合は、使っているソフトと版の一覧を作るところからお手伝いします。

出典（2026年11月12日に確認）

よくある質問

悪用はされていますか？

2026年11月12日時点で、Apache HTTP Server の開発元の脆弱性の一覧には、悪用されているという記載はありません。ただし、深刻度「重大」で任意のコード実行につながるおそれがあるため、早めに更新してください。

レンタルサーバーを使っている場合も、何かする必要がありますか？

共用のレンタルサーバーでは、Web サーバーのソフトの更新は提供会社が行うことが多いです。提供会社のお知らせで、対応の予定を確かめてください。VPS やクラウドのサーバーを自社で借りている場合は、自社か保守会社が更新します。

版が 2.4.71 になっていなければ、必ず対象ですか？

そうとは限りません。OS の提供元によっては、版番号を変えずに修正を取り込んだ版を出すことがあります。OS の提供元のお知らせで、この脆弱性が直った版かを確かめてください。

宮﨑 達也

この記事を書いた人・監修

宮﨑 達也

クリーヴァ株式会社 代表

現場で働く人が、本来向き合うべき仕事に集中できる「仕組み」づくりを支援している。業務の整理から設計・開発、公開後の改善まで伴走し、AI で自社のシステムをつくる企業を支える「せんせいAI」を提供している。

クリーヴァについて

毎週月曜の朝に、メールで受け取る

  • 無料
  • 毎週月曜の朝
  • 急ぎのものはその日のうちに
  • いつでも解除できます
  1. 今週の変化何が変わったか・関係する会社・やることを1行ずつ
  2. これからの期限60日以内のサポート終了や補助金の締切を日付で
  3. 今週の教科書新しい記事やツールを1つ

登録すると確認メールが届きます。メールのリンクを押すと登録が終わります。

関連記事

お問い合わせ・ご相談

「何が課題かまだ整理できていない」という段階でも問題ありません。
まずはお気軽にご相談ください。一緒に状況を整理するところから始めます。

無料相談を申し込む

資料ダウンロード

まだ検討中の段階でも、社内にどう説明したらいいかわからないという場面でも。
前進するための資料を、無料でご用意しています。

資料をダウンロードする