脆弱性修正

• CVE-2026-49975: mod_http2 サービス運用妨害 (DoS)。Apache HTTP Server の mod_http における過大なサイズ値によるメモリ割り当ての脆弱性により、悪意のある HTTP リクエストを介してサービス運用妨害（DoS）が引き起こされる可能性があります。この問題は Apache HTTP Server 2.4.17 から 2.4.67 まで影響します。
• CVE-2026-48913: ファイルハンドル枯渇時における mod_http2 のメモリ破損。ファイルハンドルがすでに枯渇している際、Apache HTTP Server モジュール mod_http2 において使用中メモリ解放（Use After Free）の脆弱性が発生します。この問題は Apache HTTP Server 2.4.55 から 2.4.67 まで影響します。
• CVE-2026-44631: 符号付き文字のオーバーフローを介した ap_regname におけるヒープアンダーフロー。設定ファイル内の細工された正規表現により、Apache HTTP Server にバッファアンダーライト（境界未満への書き込み）の脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-44186: mod_proxy_ftp の proxy_ftp_handler における無限ループ。攻撃者が制御するバックエンド FTP サーバーを利用することで、Apache HTTP Server の mod_proxy_ftp モジュールにおいて到達不能な脱出条件（無限ループ）の脆弱性が存在します。この問題は 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-44185: mod_ssl OCSP send_request におけるスタックバッファの過剰読み取り。攻撃者が制御する OCSP サーバーへのアウトバウンド OCSP リクエストを介して、Apache HTTP Server にバッファ過剰読み取りの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-44119: 複数モジュールの .htaccess 内の式を介した権限昇格。Apache HTTP Server 2.4.67 以前において、不適切な権限管理の脆弱性により、ローカルの .htaccess 作成者が httpd ユーザーの権限でファイルを読み取れる可能性があります。この問題は 2.4.67 以前に影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-43951: merge_response_headers における領域外読み取り（OOB Read）によるクラッシュの可能性。mod_headers と mod_mime を使用し、複数のレスポンス言語が設定されている環境において、Apache HTTP Server に領域外読み取りの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。
• CVE-2026-42536: mod_xml2enc のヒープオーバーフロー。信頼されていないコンテンツ、xml2StartParse、および mod_xml2enc を使用する環境において、Apache HTTP Server にヒープベースのバッファオーバーフローの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-42535: mod_dav_fs の保護されたディレクトリへのアクセス。Apache 2.4.67 以前の mod_dav_fs におけるパス処理の問題により、WebDAV コンテンツの作成者が信頼された DAV プロパティデータベースを直接操作し、子プロセスをクラッシュさせる可能性があります。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-34356: ProxyPassReverseCookieMap のバッファオーバーフロー。悪意のあるバックエンドサーバーと ProxyPassReverseCookie* の組み合わせにおいて、Apache HTTP Server にヒープベースのバッファオーバーフローの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-34355: mod_proxy_html のバッファオーバーフロー。Apache HTTP Server 2.4.67 以前の mod_proxy_html において、信頼されていないバックエンドからの攻撃を許すバッファオーバーフローの脆弱性が存在します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-29170: mod_proxy_ftp のクロスサイトスクリプティング（XSS）。正方向（フォワード）または逆方向（リバース）プロキシ構成で FTP ディレクトリコンテンツをリスト表示する際、Apache HTTP Server 2.4.67 以前の mod_proxy_ftp が生成する HTML ディレクトリリストにクロスサイトスクリプティングの脆弱性が存在します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-29167: パーディレクトリ（ディレクトリ単位）構成における mod_ldap の使用中メモリ解放（Use After Free）。ディレクトリ単位の構成で mod_ldap を使用している際、Apache HTTP Server に使用中メモリ解放の脆弱性が発生します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。

不具合修正

• mod_ssl, ab: OpenSSL 4.0 のサポートが追加されました。
• mod_ssl: SSL 識別名（DN）変数として、SerialNumber が認識可能な属性タイプとして追加されました。
• mod_ssl: クライアント証明書認証が実行された際、認証タイプ（auth type）に “ClientCert” が設定されるようになりました。
• mod_include: 条件評価がエラーを返した際、if/elsif/else のコンテンツを一切出力しないよう修正されました。
• mod_unixd: FreeBSD 11 以降において、CoreDumpDirectory の利用にトレース（tracing）の有効化が必要になりました（PR 65819）。
• mod_file_cache: スレッド化された MPM 環境下における、mmap されたファイルのクラッシュが修正されました（PR 69901）。
• core: ErrorLogFormat において、従来のマイクロ秒（%{u}t）だけでなく、ミリ秒単位で時間を記録できる %{m}t が新たに利用可能になりました。
• mod_unixd: chroot 構成において、有効ユーザー ID（EUID）がゼロであるかどうかのテスト（チェック）が削除されました（PR 69767）。
• mod_proxy_balancer: XML 出力にノンス（nonce）が含まれるよう修正されました（PR 63074）。
• mod_http2: バージョン 2.0.42 にアップデートされました。非 TLS のフロントエンド接続でファイルを送信する際、ファイル記述子（ファイルディスクリプタ）を過剰に消費する問題が修正されました。
• mod_http2: バージョン 2.0.41 にアップデートされました。LimitRequestFields に対するクッキーヘッダーのカウント処理が修正されました。
• mod_http2: バージョン 2.0.40 にアップデートされました。アップロードリクエストの処理中にサーバーのファイルハンドルが枯渇した際のエラー処理が修正されました。これにより、beam bucket のコールバックが残ってしまい、無効になった参照を呼び出す可能性があった問題が解消されました。この問題は、パイプライン処理が存在し、かつネットワークサーバーとして適切でないレベルでファイル記述子が制限されているプラットフォームにのみ適用されます。
• mod_dav_fs: リソースがすでに存在しないことが原因で削除に失敗した場合、DELETE リクエストに対して 404 を返すよう修正されました（PR 60746）。
• mod_proxy_hcheck: 更新中に子プロセスが再起動したことが原因で、ヘルスチェックが非有効化されてしまう問題が修正されました。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4