Apache HTTP ServerのHTTP/2モジュール（mod_http2）において、極めて深刻なリモートコード実行（RCE）の脆弱性「CVE-2026-119618」が確認されました。この問題は、assign_headers()関数内でのリソース共有時における同期不備（レースコンディション）に起因しています。攻撃者がこの脆弱性を悪用した場合、ヒープメモリを破壊することで、未認証の状態でサーバー上で任意のコマンドを実行できる可能性があります。この脆弱性は、AnthropicとGoogle Cloudの調査チームによって発見されました。
影響を受けるのは、Apache HTTP Serverのバージョン2.4.55から2.4.70、およびGitHubのmod_h2モジュールのバージョン2.0.8から2.0.42を使用している環境です。Wizのデータによると、クラウド環境の約64%に脆弱なリソースが存在し、そのうち約半数がインターネットに公開されているとされています。脆弱性が悪用されると、コンテナ化されたワークロードを通じて、隣接するマイクロサービスやクラウドのメタデータエンドポイントへの横展開（ラテラルムーブメント）を許すリスクも指摘されています。
対策として、Apache HTTP Serverをバージョン2.4.71以降へ、standaloneのmod_h2を使用している場合は2.0.42以降へ速やかにアップデートすることが強く推奨されています。即時のパッチ適用が困難な場合は、暫定的な回避策として、設定ファイル（httpd.confなど）を編集し、HTTP/2（h2, h2c）を無効化してHTTP/1.1のみに制限する方法があります。現時点で、この脆弱性を悪用した攻撃の報告は確認されていませんが、迅速な対応が必要です。