Webサーバーソフトとして世界中で広く使われている「Apache HTTP Server」のHTTP/2用モジュール（mod_http2）に、深刻なセキュリティホールが見つかりました。「CVE-2026-119618」として登録されており、外部の攻撃者がログインなしで、サーバー上で好きなプログラムを動かせてしまうおそれがあります。
こうした欠陥は「RCE（遠隔コード実行）」と呼ばれます。サーバーを事実上乗っ取られる可能性があるため、数ある欠陥の中でも特に危険度が高いタイプです。HTTP/2は、Webページの表示を速くするための通信方式で、多くのサイトで標準的に有効になっています。
影響を受けるのはバージョン2.4.55から2.4.70までで、HTTP/2を有効にしているサーバーが対象です。開発元は修正版の2.4.71を公開しています。
自分でApacheのサーバーを運用している場合は、使っているバージョンを確認し、できるだけ早く2.4.71へ更新してください。すぐに更新できない場合は、一時的にHTTP/2を無効にするのが有効な回避策になります。レンタルサーバーやホスティングを使っている方は、事業者が対応を発表していないか確認しましょう。