脆弱性修正

• CVE-2026-49975: mod_http2 サービス運用妨害 (DoS)。Apache HTTP Server の mod_http における過大なサイズ値によるメモリ割り当ての脆弱性により、悪意のある HTTP リクエストを介してサービス運用妨害（DoS）が引き起こされる可能性があります。この問題は Apache HTTP Server 2.4.17 から 2.4.67 まで影響します。
• CVE-2026-48913: ファイルハンドル枯渇時における mod_http2 のメモリ破損。ファイルハンドルがすでに枯渇している際、Apache HTTP Server モジュール mod_http2 において使用中メモリ解放（Use After Free）の脆弱性が発生します。この問題は Apache HTTP Server 2.4.55 から 2.4.67 まで影響します。
• CVE-2026-44631: 符号付き文字のオーバーフローを介した ap_regname におけるヒープアンダーフロー。設定ファイル内の細工された正規表現により、Apache HTTP Server にバッファアンダーライト（境界未満への書き込み）の脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-44186: mod_proxy_ftp の proxy_ftp_handler における無限ループ。攻撃者が制御するバックエンド FTP サーバーを利用することで、Apache HTTP Server の mod_proxy_ftp モジュールにおいて到達不能な脱出条件（無限ループ）の脆弱性が存在します。この問題は 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-44185: mod_ssl OCSP send_request におけるスタックバッファの過剰読み取り。攻撃者が制御する OCSP サーバーへのアウトバウンド OCSP リクエストを介して、Apache HTTP Server にバッファ過剰読み取りの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-44119: 複数モジュールの .htaccess 内の式を介した権限昇格。Apache HTTP Server 2.4.67 以前において、不適切な権限管理の脆弱性により、ローカルの .htaccess 作成者が httpd ユーザーの権限でファイルを読み取れる可能性があります。この問題は 2.4.67 以前に影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-43951: merge_response_headers における領域外読み取り（OOB Read）によるクラッシュの可能性。mod_headers と mod_mime を使用し、複数のレスポンス言語が設定されている環境において、Apache HTTP Server に領域外読み取りの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。
• CVE-2026-42536: mod_xml2enc のヒープオーバーフロー。信頼されていないコンテンツ、xml2StartParse、および mod_xml2enc を使用する環境において、Apache HTTP Server にヒープベースのバッファオーバーフローの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-42535: mod_dav_fs の保護されたディレクトリへのアクセス。Apache 2.4.67 以前の mod_dav_fs におけるパス処理の問題により、WebDAV コンテンツの作成者が信頼された DAV プロパティデータベースを直接操作し、子プロセスをクラッシュさせる可能性があります。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-34356: ProxyPassReverseCookieMap のバッファオーバーフロー。悪意のあるバックエンドサーバーと ProxyPassReverseCookie* の組み合わせにおいて、Apache HTTP Server にヒープベースのバッファオーバーフローの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-34355: mod_proxy_html のバッファオーバーフロー。Apache HTTP Server 2.4.67 以前の mod_proxy_html において、信頼されていないバックエンドからの攻撃を許すバッファオーバーフローの脆弱性が存在します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-29170: mod_proxy_ftp のクロスサイトスクリプティング（XSS）。正方向（フォワード）または逆方向（リバース）プロキシ構成で FTP ディレクトリコンテンツをリスト表示する際、Apache HTTP Server 2.4.67 以前の mod_proxy_ftp が生成する HTML ディレクトリリストにクロスサイトスクリプティングの脆弱性が存在します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-29167: パーディレクトリ（ディレクトリ単位）構成における mod_ldap の使用中メモリ解放（Use After Free）。ディレクトリ単位の構成で mod_ldap を使用している際、Apache HTTP Server に使用中メモリ解放の脆弱性が発生します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。

不具合修正

• mod_ssl, ab: OpenSSL 4.0 のサポートが追加されました。
• mod_ssl: SSL 識別名（DN）変数として、SerialNumber が認識可能な属性タイプとして追加されました。
• mod_ssl: クライアント証明書認証が実行された際、認証タイプ（auth type）に “ClientCert” が設定されるようになりました。
• mod_include: 条件評価がエラーを返した際、if/elsif/else のコンテンツを一切出力しないよう修正されました。
• mod_unixd: FreeBSD 11 以降において、CoreDumpDirectory の利用にトレース（tracing）の有効化が必要になりました（PR 65819）。
• mod_file_cache: スレッド化された MPM 環境下における、mmap されたファイルのクラッシュが修正されました（PR 69901）。
• core: ErrorLogFormat において、従来のマイクロ秒（%{u}t）だけでなく、ミリ秒単位で時間を記録できる %{m}t が新たに利用可能になりました。
• mod_unixd: chroot 構成において、有効ユーザー ID（EUID）がゼロであるかどうかのテスト（チェック）が削除されました（PR 69767）。
• mod_proxy_balancer: XML 出力にノンス（nonce）が含まれるよう修正されました（PR 63074）。
• mod_http2: バージョン 2.0.42 にアップデートされました。非 TLS のフロントエンド接続でファイルを送信する際、ファイル記述子（ファイルディスクリプタ）を過剰に消費する問題が修正されました。
• mod_http2: バージョン 2.0.41 にアップデートされました。LimitRequestFields に対するクッキーヘッダーのカウント処理が修正されました。
• mod_http2: バージョン 2.0.40 にアップデートされました。アップロードリクエストの処理中にサーバーのファイルハンドルが枯渇した際のエラー処理が修正されました。これにより、beam bucket のコールバックが残ってしまい、無効になった参照を呼び出す可能性があった問題が解消されました。この問題は、パイプライン処理が存在し、かつネットワークサーバーとして適切でないレベルでファイル記述子が制限されているプラットフォームにのみ適用されます。
• mod_dav_fs: リソースがすでに存在しないことが原因で削除に失敗した場合、DELETE リクエストに対して 404 を返すよう修正されました（PR 60746）。
• mod_proxy_hcheck: 更新中に子プロセスが再起動したことが原因で、ヘルスチェックが非有効化されてしまう問題が修正されました。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

• CVE-2026-34059: Apache HTTP Server: mod_proxy_ajp: ajp_parse_data() におけるヒープ領域の過剰読み取りおよびメモリ情報漏洩。Apache HTTP Server の mod_proxy_ajp におけるバッファ過剰読み取りの脆弱性です。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-34032: Apache HTTP Server: mod_proxy_ajp: NULL 終端チェック不足によるヒープバッファ過剰読み取り (ajp_msg_get_string)。Apache HTTP Server における不適切な NULL 終端処理および領域外読み取りの脆弱性です。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33857: Apache HTTP Server: AJP 取得関数における Off-by-one の領域外読み取り。Apache HTTP Server の mod_proxy_ajp における領域外読み取りの脆弱性です。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33523: Apache HTTP Server: 複数モジュールにおける HTTP レスポンス分割攻撃（悪意あるステータス行の転送）。信頼されていない、または侵害されたバックエンドサーバーを利用する複数の Apache HTTP Server モジュールにおいて、HTTP レスポンス分割の脆弱性が存在します。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33007: Apache HTTP Server: mod_authn_socache クラッシュ。Apache HTTP Server 2.4.66 以前の mod_authn_socache における NULL ポインタ参照により、キャッシュフォワードプロキシ構成で認証されていないリモートユーザーが子プロセスをクラッシュさせる可能性があります。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33006: Apache HTTP Server: mod_auth_digest タイミング攻撃。Apache HTTP Server 2.4.66 の mod_auth_digest に対するタイミング攻撃により、リモート攻撃者が Digest 認証を回避できる可能性があります。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-29169: Apache HTTP Server: mod_dav_lock 間接ロックによるクラッシュ。Apache HTTP Server 2.4.66 以前の mod_dav_lock における NULL ポインタ参照により、攻撃者が悪意のあるリクエストでサーバーをクラッシュさせる可能性があります。mod_dav_lock は mod_dav や mod_dav_fs では内部利用されておらず、既知の利用例は Apache Subversion 1.2.0 より前の mod_dav_svn のみです。この問題を修正したバージョン 2.4.67 へのアップグレード、または mod_dav_lock の削除を推奨します。
• CVE-2026-29168: Apache HTTP Server: mod_md における無制限な OCSP 応答処理。Apache HTTP Server の mod_md において、OCSP 応答データ経由でリソース制限やスロットリングが行われない脆弱性が存在します。この問題は Apache HTTP Server 2.4.30 から 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-28780: Apache HTTP Server: ajp_msg_check_header() を介した mod_proxy_ajp のバッファオーバーフロー。Apache HTTP Server の mod_proxy_ajp におけるヒープベースのバッファオーバーフロー脆弱性です。mod_proxy_ajp が悪意のある AJP サーバーへ接続した場合、そのサーバーが細工した AJP メッセージを返すことで、ヒープバッファ終端後に攻撃者制御の 4 バイトを書き込ませる可能性があります。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-24072: Apache HTTP Server: mod_rewrite における ap_expr 経由の権限昇格。Apache HTTP Server 2.4.66 以前の複数モジュールにおいて、ローカルの .htaccess 作成者が httpd ユーザー権限でファイルを読み取れる可能性があります。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-23918: Apache HTTP Server: HTTP/2 における二重解放および早期リセット時の RCE の可能性。Apache HTTP Server の HTTP/2 プロトコル実装において、二重解放およびリモートコード実行 (RCE) の可能性がある脆弱性です。この問題は Apache HTTP Server 2.4.66 に影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。

不具合修正

• mod_md: バージョン 2.6.10 にアップデート

– 証明書更新が完了したと記録されているものの、必要な結果ファイルが生成されていない問題(Issue #420 https://github.com/icing/mod_md/issues/420 ) について、job.json ファイルを無視するよう修正されました。

• mod_http2: バージョン 2.0.39 にアップデート

– サードパーティ製モジュールとの組み合わせで発生していたメモリ問題の報告を受け、ストリーム独自のメモリアロケータが削除されました。

• mod_http2: バージョン 2.0.38 にアップデート

– mod_h2 GitHub リポジトリとのソース同期が行われました。機能的な変更はありません。

• conf/mime.types 更新

– vnd.sqlite3、HEIC、HEIF の MIME タイプが追加されました。

• mod_md: バージョン 2.6.7 にアップデート

– MDStapleOthers の回帰不具合が修正されました。この問題は v2.6.0 で発生し、設定内容に関係なく適用されなくなっていました。

• mod_md: バージョン 2.6.9 にアップデート

– Pebble 2.9 以降で利用規約同意が未設定時に返される別エラーに対応し、すべての userActionRequired エラーを恒久的エラーとして扱うよう修正されました。

• mod_md: バージョン 2.6.8 にアップデート

– ACME オーダー作成時の ARI 関連 replaces プロパティについて、CA が ARI をサポートし、かつ設定で有効な場合のみ使用するよう修正されました。
– apr_cstr_casecmp を持たない APR 1.6.0 未満との互換性が修正され、代わりに apr_strnatcasecmp を利用するようになりました。

• mod_http2: バージョン 2.0.37 にアップデート

– ストリームの二重パージによる二重解放を防止するよう修正されました。(PR 69899)

• mod_md: APR 1.6.0 未満向けビルド時に、正しい関数名を使用するよう修正されました。(PR 69954)

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4