Apache HTTP Server CVE-2026-119618ほか10件

11月11日（米国時間）にApacheが公開した HTTP Server 2.4.71 と、11月10日公開のFortinet・Ivanti・SAPの重要度の高い修正から、中小企業のシステムに関係が深いものを選びました。最優先は Apache HTTP Server の CVE-2026-119618（mod_http2 のヒープ破壊、リモートコード実行につながる可能性）です。Apache は重大度を critical と評価し、2.4.55〜2.4.70 が影響を受け、修正版は 2.4.71 です。HTTP/2 を有効にした Apache をインターネットに公開しているサーバーは、更新を優先してください。

今日の一覧にある脆弱性について、悪用が確認されたという一次情報は見つかっていません（Fortinet は3件とも「Known exploited: No」と記載、CISA の KEV カタログにも11月11日以降の追加はありません）。ただし、いずれも認証なしで到達できる重大度の高いものです。Ivanti Endpoint Manager の CVE-2026-121653（CVSS 9.8）、Fortinet の FortiMail・FortiOS の3件（CVSS 9.3〜9.8）、SAP の CVSS 10.0 の4件は、対象製品を使っている組織だけが対処すれば足ります。前日までに扱った Chrome・Outlook・Barracuda・OpenSSH などは、今日の一覧には含めていません。

CVE-2026-119618 は、mod_http2 の assign_headers() で共有リソースの同期が不適切なために起きる脆弱性で、Apache の勧告では「ヒープ破壊とリモートコード実行（RCE）」と記載されています。HTTP/2 のリクエストを処理する部分の不具合なので、HTTP/2 を有効にした Apache をインターネットに公開していると、外部からのリクエストが入口になりえます。重大度は Apache の評価で critical です。CVSS 値は、執筆時点で NVD にまだ掲載されていません。

影響を受けるのは Apache HTTP Server 2.4.55 から 2.4.70 です。GitHub で配布されている mod_h2 を別途入れている場合は、2.0.8 から 2.0.42 が対象とされています。修正版は 2.4.71（11月11日公開）です。発見者として Anthropic の OSS Scanner と、Google Cloud Vulnerability Research の2名が記載されています。Apache の勧告に回避策の記載はなく、悪用の記載もありません。

同じ 2.4.71 で、ほかに2件が修正されています。CVE-2026-106023 は mod_md（証明書の自動取得機能）の NULL ポインタ参照で、リクエスト処理中に子プロセスが落ちる可能性があります（important、2.4.30〜2.4.70）。CVE-2026-109163 は mod_vhost_alias のスタックバッファ溢れ（1バイトの書き込み）で、重大度は low、影響は 2.4.69〜2.4.70 です。

確認方法は次のとおりです。まずバージョンを確認し、次に HTTP/2 モジュールが読み込まれているかを調べます。

Linux のディストリビューションは、バージョン番号を上げずに修正だけを取り込むこと（バックポート）があるため、httpd -v の番号が 2.4.70 以前でも未対応とは限りません。パッケージの変更履歴で CVE 番号を確認してください。詳しい確認手順はApache HTTP Server の CVE-2026-119618 の影響確認と対処手順にまとめています。HTTP/2 まわりの脆弱性としては、先日のBrotli の CVE-2026-111497（HTTP/2 Shell）も参考になります。出典: Apache HTTP Server 2.4 vulnerabilities。

Ivanti Endpoint Manager（EPM、社内PCの管理ツール）の Core に SQL インジェクションがあり、リモートの認証なしの攻撃者がリモートコード実行を行える可能性がある、という内容です。CVSS 3.1 は 9.8（AV:N/AC:L/PR:N/UI:N）で、Ivanti が CNA として登録した値が NVD に掲載されています。影響は「2024 SU8 より前」のバージョン、修正は 2024 SU8 です。

悪用については、11月11日時点の CISA の評価（SSVC）で exploitation は none（確認なし）でした。KEV にも載っていません。なお、Ivanti のセキュリティアドバイザリのページ自体は、今回の確認では内容を読み出せなかったため、バージョンの範囲は NVD（Ivanti 登録の CVE レコード）の記載に基づいています。EPM を使っている場合は、管理コンソールのバージョンを確認し、最新のアドバイザリを Ivanti のサイトで確認してください。出典: NVD CVE-2026-121653、Ivanti アドバイザリ。

Fortinet は11月10日、PSIRT で重大度 Critical の3件を公開しました。3件とも Fortinet は「Known exploited: No」「回避策なし」と記載しています。

FortiMail の CVE-2026-126147（FG-IR-26-199）は API のパストラバーサルで、認証なしの攻撃者が細工したリクエストでコードやコマンドを実行できる可能性があります（CVSS 9.8）。影響は 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2 は全バージョンで、修正は 8.0.2、7.6.7、7.4.9 以降です。7.2 には修正版がなく、修正済みのリリースへの移行が案内されています。CVE-2026-126148（FG-IR-26-200）は CLI のコマンドインジェクションで、NVD によれば細工した HA（高可用性）の join-request パケットで悪用されます（CVSS 9.8）。影響は 8.0.0〜8.0.1 と 7.6.0〜7.6.6 で、7.4 と 7.2 は影響を受けません。修正は 8.0.2、7.6.7 以降です。クラウド版の FortiMail Cloud は10月5日に修正済みで、利用者の対応は不要と記載されています。

FortiOS の CVE-2026-126253（FG-IR-26-267）は認証バイパスで、NVD の説明では、認証なしの攻撃者が細工したリクエストで LSA（ルーティングの経路情報）を流せる可能性があります。CVSS 3.1 は 9.3 で、攻撃元は隣接ネットワーク（AV:A）のため、インターネットから直接ではなく、同じネットワーク上の攻撃者が前提です。影響は 8.0.0〜8.0.1、7.6.0〜7.6.7、7.4.0〜7.4.12、7.2.0〜7.2.13、7.0.1〜7.0.19 で、修正は 8.0.2、7.6.8、7.4.13、7.2.14 以降です。7.0 は修正済みのリリースへの移行が案内されています。FortiSASE の一部バージョンも対象で、26.3 系は 26.3.2 で対処済みです。

FortiMail は社内のメール受信を担う機器なので、利用している場合はファームウェアのバージョンを管理画面で確認し、導入した保守業者に更新の予定を確認してください。FortiGate（FortiOS）は、更新の経路を Fortinet のアップグレードツールで確認できます。出典: FG-IR-26-199、FG-IR-26-200、FG-IR-26-267。

SAP は11月10日のセキュリティパッチデーで、CVSS 10.0 の Critical を4件公開しました。いずれも認証なしでネットワーク経由で到達できる条件で、SAP が CNA として登録した CVSS 3.1 の値が NVD にあります。SAP のページには、悪用されているかどうかの記載はありません。対象が SAP の ABAP 系システムなので、自社で SAP を運用している企業、またはクラウド・保守業者経由で利用している企業が確認の対象です。

- CVE-2026-76964: SAP NetWeaver AS ABAP の Internet Communication Manager（ICM）。ネットワーク入力の検証不備でメモリ破壊が起き、任意のコード実行につながる可能性があります。SAPノート 3778530。対象カーネル: KRNL64UC 7.53、KERNEL 7.53 / 7.54 / 7.77 / 7.93 / 9.16 / 9.18 / 9.20
- CVE-2026-89126: SAP Web Dispatcher。同様にメモリ破壊で、任意のコード実行の可能性があります。SAPノート 3778556。対象に WEBDISP 7.53〜9.16 や KERNEL 7.53〜9.20 などを含みます
- CVE-2026-89103: SAP Gateway。既定のアクセス制御リスト（ACL）が高い権限で有効になり、外部の攻撃者が内部のアプリケーションサーバーとして扱われる可能性があります。SAPノート 3798345
- CVE-2026-120017: SAP NetWeaver AS ABAP と ABAP Platform の SAML2 サービスプロバイダー。認証アサーションの検証が不十分で、特定の構成では認証を回避し、他のユーザー（特権アカウントを含む）になりすませる可能性があります。SAPノート 3849308。対象は SAP_BASIS 702〜922 の各バージョン

修正の詳細と手順は SAP ノートに記載されており、閲覧には SAP のサポートアカウントが必要です。SAP のシステム管理者や導入ベンダーに、上記の4つのノートが適用済みかを確認してください。出典: SAP セキュリティパッチデー 2026年11月、NVD CVE-2026-76964。

- 自社のウェブサーバーで Apache（httpd）を使っているかを、保守担当者・委託先に確認する
- 使っている場合は、バージョンが 2.4.71 以降か、または配布元が CVE-2026-119618 を修正済みかを確認してもらう
- 社内PCの管理に Ivanti Endpoint Manager を使っているかを確認し、使っていれば 2024 SU8 以降かを確認する
- FortiMail・FortiGate を使っている場合は、ファームウェアのバージョンを確認し、更新の予定を保守業者に聞く
- SAP を使っている場合は、基盤の担当者に4つのノート（3778530・3778556・3798345・3849308）の適用状況を確認する
- どの製品も、管理画面や管理用ポートをインターネットに公開していないかを同時に確認する
- 自社で使っていない製品は、対応不要として「確認済み」と記録しておく

- Apache HTTP Server の CVE-2026-119618 の影響確認と対処手順
- Brotli の CVE-2026-111497（HTTP/2 Shell）の確認と対処
- 前日の脆弱性まとめ（Chrome ほか）
- 中小企業のパッチ・アップデート管理ガイド
- 脆弱性診断の費用相場

- Apache HTTP Server 2.4 vulnerabilities: https://httpd.apache.org/security/vulnerabilities_24.html
- NVD CVE-2026-119618: https://nvd.nist.gov/vuln/detail/CVE-2026-119618
- NVD CVE-2026-121653: https://nvd.nist.gov/vuln/detail/CVE-2026-121653
- Ivanti アドバイザリ: https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-EPM-November-2026?language=en_US
- Fortinet FG-IR-26-199: https://fortiguard.fortinet.com/psirt/FG-IR-26-199
- Fortinet FG-IR-26-200: https://fortiguard.fortinet.com/psirt/FG-IR-26-200
- Fortinet FG-IR-26-267: https://fortiguard.fortinet.com/psirt/FG-IR-26-267
- SAP セキュリティパッチデー 2026年11月: https://support.sap.com/en/my-support/knowledge-base/security-notes-news/november-2026.html
- NVD CVE-2026-76964: https://nvd.nist.gov/vuln/detail/CVE-2026-76964
- CISA KEV カタログ: https://www.cisa.gov/known-exploited-vulnerabilities-catalog