脆弱性修正

• CVE-2026-34059: Apache HTTP Server: mod_proxy_ajp: ajp_parse_data() におけるヒープ領域の過剰読み取りおよびメモリ情報漏洩。Apache HTTP Server の mod_proxy_ajp におけるバッファ過剰読み取りの脆弱性です。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-34032: Apache HTTP Server: mod_proxy_ajp: NULL 終端チェック不足によるヒープバッファ過剰読み取り (ajp_msg_get_string)。Apache HTTP Server における不適切な NULL 終端処理および領域外読み取りの脆弱性です。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33857: Apache HTTP Server: AJP 取得関数における Off-by-one の領域外読み取り。Apache HTTP Server の mod_proxy_ajp における領域外読み取りの脆弱性です。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33523: Apache HTTP Server: 複数モジュールにおける HTTP レスポンス分割攻撃（悪意あるステータス行の転送）。信頼されていない、または侵害されたバックエンドサーバーを利用する複数の Apache HTTP Server モジュールにおいて、HTTP レスポンス分割の脆弱性が存在します。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33007: Apache HTTP Server: mod_authn_socache クラッシュ。Apache HTTP Server 2.4.66 以前の mod_authn_socache における NULL ポインタ参照により、キャッシュフォワードプロキシ構成で認証されていないリモートユーザーが子プロセスをクラッシュさせる可能性があります。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33006: Apache HTTP Server: mod_auth_digest タイミング攻撃。Apache HTTP Server 2.4.66 の mod_auth_digest に対するタイミング攻撃により、リモート攻撃者が Digest 認証を回避できる可能性があります。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-29169: Apache HTTP Server: mod_dav_lock 間接ロックによるクラッシュ。Apache HTTP Server 2.4.66 以前の mod_dav_lock における NULL ポインタ参照により、攻撃者が悪意のあるリクエストでサーバーをクラッシュさせる可能性があります。mod_dav_lock は mod_dav や mod_dav_fs では内部利用されておらず、既知の利用例は Apache Subversion 1.2.0 より前の mod_dav_svn のみです。この問題を修正したバージョン 2.4.67 へのアップグレード、または mod_dav_lock の削除を推奨します。
• CVE-2026-29168: Apache HTTP Server: mod_md における無制限な OCSP 応答処理。Apache HTTP Server の mod_md において、OCSP 応答データ経由でリソース制限やスロットリングが行われない脆弱性が存在します。この問題は Apache HTTP Server 2.4.30 から 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-28780: Apache HTTP Server: ajp_msg_check_header() を介した mod_proxy_ajp のバッファオーバーフロー。Apache HTTP Server の mod_proxy_ajp におけるヒープベースのバッファオーバーフロー脆弱性です。mod_proxy_ajp が悪意のある AJP サーバーへ接続した場合、そのサーバーが細工した AJP メッセージを返すことで、ヒープバッファ終端後に攻撃者制御の 4 バイトを書き込ませる可能性があります。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-24072: Apache HTTP Server: mod_rewrite における ap_expr 経由の権限昇格。Apache HTTP Server 2.4.66 以前の複数モジュールにおいて、ローカルの .htaccess 作成者が httpd ユーザー権限でファイルを読み取れる可能性があります。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-23918: Apache HTTP Server: HTTP/2 における二重解放および早期リセット時の RCE の可能性。Apache HTTP Server の HTTP/2 プロトコル実装において、二重解放およびリモートコード実行 (RCE) の可能性がある脆弱性です。この問題は Apache HTTP Server 2.4.66 に影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。

不具合修正

• mod_md: バージョン 2.6.10 にアップデート

– 証明書更新が完了したと記録されているものの、必要な結果ファイルが生成されていない問題(Issue #420 https://github.com/icing/mod_md/issues/420 ) について、job.json ファイルを無視するよう修正されました。

• mod_http2: バージョン 2.0.39 にアップデート

– サードパーティ製モジュールとの組み合わせで発生していたメモリ問題の報告を受け、ストリーム独自のメモリアロケータが削除されました。

• mod_http2: バージョン 2.0.38 にアップデート

– mod_h2 GitHub リポジトリとのソース同期が行われました。機能的な変更はありません。

• conf/mime.types 更新

– vnd.sqlite3、HEIC、HEIF の MIME タイプが追加されました。

• mod_md: バージョン 2.6.7 にアップデート

– MDStapleOthers の回帰不具合が修正されました。この問題は v2.6.0 で発生し、設定内容に関係なく適用されなくなっていました。

• mod_md: バージョン 2.6.9 にアップデート

– Pebble 2.9 以降で利用規約同意が未設定時に返される別エラーに対応し、すべての userActionRequired エラーを恒久的エラーとして扱うよう修正されました。

• mod_md: バージョン 2.6.8 にアップデート

– ACME オーダー作成時の ARI 関連 replaces プロパティについて、CA が ARI をサポートし、かつ設定で有効な場合のみ使用するよう修正されました。
– apr_cstr_casecmp を持たない APR 1.6.0 未満との互換性が修正され、代わりに apr_strnatcasecmp を利用するようになりました。

• mod_http2: バージョン 2.0.37 にアップデート

– ストリームの二重パージによる二重解放を防止するよう修正されました。(PR 69899)

• mod_md: APR 1.6.0 未満向けビルド時に、正しい関数名を使用するよう修正されました。(PR 69954)

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

• CVE-2025-66200: Apache HTTP Server: mod_userdir+suexec バイパス (AllowOverride FileInfo 経由)。
  Apache HTTP Server における mod_userdir+suexec の AllowOverride FileInfo 脆弱性によるバイパス。htaccess で RequestHeader ディレクティブを使用できるユーザーは、一部の CGI スクリプトを予期しないユーザー ID で実行させる可能性があります。この問題は、Apache HTTP Server 2.4.7 から 2.4.65 までに影響します。
• CVE-2025-65082: Apache HTTP Server: CGI 環境変数の上書き。
  Apache HTTP サーバーにおけるエスケープシーケンス、メタシーケンス、または制御シーケンスの不適切な無効化に関する脆弱性。これは、Apache 設定を介して設定された環境変数が、サーバーが CGI プログラム用に計算した変数を予期せず上書きすることによって発生します。この問題は、Apache HTTP Server 2.4.0 から 2.4.65 までに影響します。
• CVE-2025-59775: Apache HTTP Server: UNC SSRF を介した Windows での NTLM 漏洩。
  Windows 版 Apache HTTP Server において、AllowEncodedSlashes が有効かつ MergeSlashes が無効になっている場合、SSRF と悪意のあるリクエストまたはコンテンツを介して、NTLM ハッシュが悪意のあるサーバーに漏洩する可能性のあるサーバーサイドリクエストフォージェリ (SSRF) の脆弱性が存在します。
• CVE-2025-58098: Apache HTTP Server: Server Side Include が #exec cmd=… にクエリ文字列を追加する。
  Apache HTTP Server 2.4.65 以前で Server Side Include (SSI) が有効になっており、mod_cgid (mod_cgi は無効) がシェルエスケープされたクエリ文字列を #exec cmd=”…” ディレクティブに渡します。この問題は Apache HTTP Server 2.4.66 より前のバージョンに影響します。
• CVE-2025-55753: Apache HTTP Server: mod_md(ACME)、意図しない再試行間隔。
  ACME 証明書の更新に失敗した際に発生する整数オーバーフローにより、一定回数（デフォルト設定で約30日間）更新が失敗すると、バックオフタイマーが 0 になります。その後、証明書の更新は成功するまで遅延なく繰り返されます。この問題は Apache HTTP Server 2.4.30 以降、2.4.66 以前で発生します。

不具合修正

• mod_http2: mod_cache からの 304 レスポンスの処理が修正されました。(PR 69580)
• mod_http2/mod_proxy_http2: プッシュダイアリーとプロキシウィンドウサイズの計算で使用される整数の log2 値の計算に関するバグが修正されました。(PR 69741)
• mod_md: バージョン 2.6.5 にアップデート
  – サーバーの再起動後、証明書の更新チェックを行うまでの待機時間を制御するための新しい MDInitialDelay ディレクティブが追加されました。
  – 強化: OpenSSL 1.0.2 より前のバージョン、または古いバージョンの libressl でビルドした場合、ASN.1 時刻文字列の解析で長さチェックが行われていませんでした。
  – 強化: ローカル JSON ストアに保存された OCSP 応答を読み戻す際に、「valid」キーが見つからないと値が初期化されず、誤った更新動作が発生していました。
• mod_md: バージョン 2.6.6 にアップデート
  – OpenSSL の BIGNUM 使用時に発生する小さなメモリリークが修正されました。
  – curl の easy ハンドルの再利用をリセットすることで修正されました。
• mod_http2: バージョン 2.0.35 にアップデート
  – 接続を閉じる前にクライアントの不正な動作をどの程度許容するかを制御するための新しい H2MaxStreamErrors ディレクティブが追加されました。
• mod_proxy_http2: ProxyErrorOverride ディレクティブのサポートが追加されました。(PR 69771)
• mpm_common: listen ソケットの TCP_DEFER_ACCEPT ソケットオプションの値を指定できる新しい ListenTCPDeferAccept ディレクティブが追加されました。
• mod_ssl: 仮想ホスト互換性ポリシーを制御する SSLVHostSNIPolicy ディレクティブが追加されました。(PR 69743)
• mod_md: バージョン 2.6.2 にアップデート
  – エラー再試行遅延の計算を修正し、最初のエラー発生時に待機時間が倍増しないようにされました。
• mod_md: バージョン 2.6.1 に アップデート
  – ACME CA の更新エラー時に発生するバースト的なトラフィックを軽減するため、デフォルトの MDRetryDelay が 30 秒に増やされました。これにより、エラー再試行の間隔は 30 秒、1 分、2 分、4 分などから、最大で毎日試行できるようになります。
  – MDRetryDelay の設定で、有効な期間になることを確認しました。遅延時間が 0 は受け入れられません。
  – ACME サーバーからの応答の Content-Type チェックに関するバグが修正されました。
  – モジュールに ACME ARI サポート (rfc9773) が追加されました。デフォルトで有効です。これを制御する新しい MDRenewViaARI on|off ディレクティブが追加されました。
  – tailscale のサポートが削除されました。これは、同社が API の変更を決定したため、長い間機能していませんでした。デッドコード、ドキュメント、テストは廃止しました。
  – libcurl のプレインダストリアルバージョンでのコンパイル問題が修正されました。

詳細は以下をご覧ください。
https://downloads.apache.org/httpd/CHANGES_2.4