「Apache HTTPD」に複数脆弱性 - 「クリティカル」との評価も

「Apache HTTP Server」の開発チームは、現地時間2026年10月1日に最新版となる「同2.4.69」をリリースした。Apache Security Teamでは比較的影響が小さいと評価しているが、CVSSベーススコアが「9.8」とされる脆弱性も複数含まれる。

今回のアップデートでは、あわせて20件の脆弱性に対処した。開発者による重要度の評価では、4段階中もっとも高い「クリティカル（Critical）」や「重要（Important）」とされる脆弱性は含まれていない。

「中（Moderate）」が5件となっており、特定の条件下においてコードが実行される脆弱性や、サービス拒否の脆弱性などとしている。

「CVE-2026-63292」は、バーチャルホストのエイリアスモジュール「mod_vhost_alias」に判明したスタックベースのバッファオーバーフローの脆弱性。特定の構成で8192バイトを超えるHostヘッダを受信すると、サービス拒否や任意コード実行につながる可能性があるという。

「mod_http2」の解放済みメモリ使用「CVE-2026-57941」のほか、「mod_dav」「mod_dav_fs」に関する脆弱性やWindows環境でパス処理時に境界外書き込みが生じる「CVE-2026-59685」などへ対応している。このほか、「低（Low）」とされる15件を解消した。

（Security NEXT - 2026/10/02 ）ツイート