Apache HTTP Server プロジェクトは2026年11月11日、httpd 2.4.71 を公開しました。3件の脆弱性を修正しており、そのうち1件を Apache は「重大（critical）」と評価しています。
CVE-2026-119618（重大）は、HTTP/2 を処理するモジュール mod_http2 の assign_headers() 関数にある競合状態（レースコンディション）です。Apache によると、ヒープ破壊を引き起こし、RCE（リモートコード実行）につながる可能性があります。影響するのは httpd 2.4.55〜2.4.70 と、GitHub で配布されている単体版 mod_h2 の 2.0.8〜2.0.42 です。発見者として、10月26日に報告した Anthropic の OSS Scanner と、11月3日に報告した Google Cloud Vulnerability Research の Anthony Weems 氏、Simon Scannell 氏の名前が挙がっています。
あわせて、ACME（Let's Encrypt など）で証明書を取得するモジュール mod_md の NULL ポインタ参照で子プロセスがクラッシュする CVE-2026-106023（重要）（2.4.30〜2.4.70）と、以前の修正後に残っていた mod_vhost_alias の1バイトのスタック上書き CVE-2026-109163（低）（2.4.69 と 2.4.70 のみ）も修正されています。
現時点で実際の悪用や公開された攻撃コードは報告されておらず、NVD による評価もまだです。各 Linux ディストリビューションは自前のパッケージで修正を配布する見込みです。それまでの間、サーバーで HTTP/2 が有効になっているかを確認してください。
