ApacheのHTTP/2に重大な脆弱性。サイト運営者はサーバーの対応状況を確認しましょう

結論： Apache HTTP ServerのHTTP/2モジュール（mod_http2）に、認証なしでコード実行につながるおそれのある重大な脆弱性（CVE-2026-119618）が見つかりました。2026年11月11日に修正版のApache 2.4.71が公開されています。対象は、Apache 2.4.55〜2.4.70を使い、HTTP/2を有効にしているサーバーです。自社サイトのサーバーが対応済みかどうか、一度確認してください。 これはサーバー側の問題なので、WordPressやプラグインを更新しても解消されません。

何が起きているのか

• Apacheの公式発表によると、mod_http2のassign_headers()という処理に「競合状態」（複数の処理が同時に動いたときに起きる不具合）があります。これがメモリ領域の破壊（ヒープ破壊）を引き起こし、外部から任意のプログラムを実行される（リモートコード実行／RCE）おそれがあります。Apacheは重大度を「critical（緊急）」と評価しています。
• 影響を受けるバージョンは、Apache HTTP Server 2.4.55〜2.4.70です。修正版は2.4.71で、2026年11月11日に公開されました。
• 単体で配布されているmod_h2（2.0.8〜2.0.42）も影響を受けるとされています。
• 現時点では、実際に悪用されたという報告は確認されていません。ただ、修正版が出たばかりの脆弱性は、早めに対応しておくと安心です。

運営者が今やること

1. レンタルサーバーを利用している場合：サーバー会社のお知らせを確認する。 共用サーバーでは、Apacheの更新はサーバー会社が行います。サーバー会社のお知らせページで、2.4.71への対応が済んでいるかを確認してください。お知らせが見当たらない、または内容が分かりにくい場合は、サポート窓口に問い合わせるのが確実です。
2. 自分でサーバーを管理している場合（VPS・専用サーバー）：Apacheを2.4.71以降に更新する。 すぐに更新できない場合は、HTTP/2を一時的に無効にして、HTTP/1.1のみで運用する方法もあります。この場合もサイトは通常どおり表示されますが、HTTP/2のときと比べて表示がやや遅くなることがあります。
3. WordPressの更新では対応できないことを押さえておく。 今回の脆弱性はWebサーバー（Apache）側の問題です。WordPress本体やプラグイン、テーマを更新しても解消されません。WordPress側の更新が済んでいても、サーバー側の確認は別途必要です。

気にしなくてよいこと

• Apache以外のWebサーバー（nginxなど）を使っている場合は、この脆弱性の影響を受けません。
• HTTP/2を有効にしていないサーバーも対象外です。
• 現時点で悪用の報告は確認されていないため、慌ててサイトを止める必要はありません。まずはサーバーの対応状況を確認しましょう。

まとめ

Apache 2.4.55〜2.4.70を使い、HTTP/2を有効にしているサーバーは、修正版2.4.71への更新が必要です。レンタルサーバーを利用している場合はサーバー会社のお知らせを確認し、自社で管理しているサーバーは早めに更新を進めてください。自社サイトの現在の状態を、無料サイトチェックで確認してみませんか？

出典

• Apache HTTP Server Project「Apache HTTP Server 2.4 vulnerabilities」（CVE-2026-119618、2.4.71で修正、2026年11月11日公開）：https://httpd.apache.org/security/vulnerabilities_24.html
• Wordfence「PSA: Critical Apache HTTP/2 Vulnerability: What WordPress Site Owners Should Know」（2026年11月12日）：https://www.wordfence.com/blog/2026/11/cve-2026-119618-apache-http2/