バナーによると、リモートホストにインストールされている Apache httpd のバージョンは、2.4.69 より前です。そのため、以下の複数の脆弱性の影響を受けます。

 - ハンドラーの誤設定に関する脆弱性により、CGI プログラムからの一部の内部リダイレクトの転送先が、CGI の実行が有効なディレクトリ内にあり、かつ mod_mime が認識できる別の拡張子を持たない場合、その転送先も CGI として扱われ、実行される可能性があります。(CVE-2026-42356)

 - mod_dav のメモリ計算の不具合により、WebDAV ロックを作成する権限を持つ攻撃者が、サーバーの子プロセスをクラッシュさせる可能性があります。(CVE-2026-42528)

 - ユニキャストリスナーにおける mod_heartmonitor の NULL ポインターデリファレンスの脆弱性により、サービス拒否が発生する可能性があります。(CVE-2026-46729)

 - modsessioncookie の情報漏洩の脆弱性により、内部リダイレクト間で SessionCookieRemove の設定が変更された場合、セッションクッキーがバックエンドサーバーに渡される可能性があります。(CVE-2026-47360)

 - modauthdigest に認証チェックが欠落しているため、AuthDigestNcCheck が有効な場合、認証されていないリモートクライアントが、偽造した Authorization ヘッダーを使用してサービス拒否 (強制的な再認証) を引き起こす可能性があります。(CVE-2026-48005)

 - modcharsetlite の finishpartialchar に、領域外書き込みの脆弱性が存在します。(CVE-2026-56153)

 - 先読み (%{LA-U:HTTP:...}) を使用する場合、mod_rewrite にメモリ解放後使用 (Use-After-Free) の脆弱性が存在します。(CVE-2026-56154)

 - modproxyhtml の領域外書き込みの脆弱性は、細工された HTTP 応答本文によって引き起こされる可能性があります。(CVE-2026-56449)

 - 共有 session->bbtmp の再入によって、mod_http2 にメモリ解放後使用 (Use-After-Free) の脆弱性が存在します。(CVE-2026-57941)

 - moddavfs の情報漏洩の脆弱性により、リモートクライアントが、.DAV 状態ディレクトリへの GET リクエストを通じて、作成権限のないリソースの WebDAV デッドプロパティを読み取る可能性があります。(CVE-2026-58415)

 - 展開時に長くなる可能性がある 8.3 名を含むパスの処理中に、Windows で領域外書き込みの脆弱性が存在します。(CVE-2026-59685)

 - SSLRequire および .htaccess ファイル内のファイル関連式により、mod_ssl に不適切な特権管理の脆弱性が存在します。(CVE-2026-59797)

 - modproxyftp における FTP PASV 応答アドレスの検証が不適切なため、フォワードプロキシ構成では、信頼できない FTP サーバーがプロキシに任意のサードパーティホストへのデータ接続を確立させる可能性があります。(CVE-2026-63045)

 - modvhostalias のスタックベースのバッファオーバーフローにより、VirtualDocumentRoot がホスト名のフォーマット指定子を使用し、LimitRequestFieldSize がデフォルト値より大きく設定されている場合、8192 バイトを超える Host ヘッダーを通じて、リモートクライアントがサービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。(CVE-2026-63292)

 - mod_xml2enc の NULL ポインターデリファレンスにより、信頼できないバックエンドサーバーが、文字セット変換が部分的に成功した後に失敗するような文字セットを含むプロキシ応答を通じて、サービス拒否を引き起こす可能性があります。(CVE-2026-63686)

 - Transfer-Encoding を含む細工された uwsgi 応答により、modproxyuwsgi に応答スマグリングの脆弱性が存在します。(CVE-2026-63718)

 - modauthdigest におけるキャプチャリプレイによる認証バイパスにより、AuthDigestNonceLifetime が 0 に設定されている場合、中間者攻撃を行う攻撃者が、取得したダイジェスト認証情報を再送できる可能性があります。(CVE-2026-73636)

 - modauthdigest のメモリ解放後使用 (Use-After-Free) により、AuthDigestNcCheck が有効になっている場合、または AuthDigestNonceLifetime が 0 に設定されている場合、認証されていないリモートクライアントが、同時に送信された Digest 認証リクエストを通じて認証状態を破損させる可能性があります。(CVE-2026-73637)

 - ワイルドカードを含まない絶対パスの UserDir ディレクティブが設定されている場合、mod_userdir のパス等価性 ('/./') の脆弱性により、情報漏洩が発生する可能性があります。(CVE-2026-79768)

 - moddavfs の整数オーバーフローにより、書き込みアクセス権を持つ認証済みの WebDAV クライアントが、多数の XML 名前空間を宣言する PROPPATCH リクエストを通じて、ワーカープロセスをクラッシュさせ、ディレクトリのプロパティデータベースを永続的に破損させる可能性があります。(CVE-2026-93546)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Apache httpd のバージョンは、2.4.69 より前です。したがって、2.4.69 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - SSLRequire およびファイル関連の式を介した Apache HTTP Server のmod_sslにおける不適切な権限管理の脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。(CVE-2026-59797)

  - Apache HTTP Server の不適切なハンドラーの脆弱性の展開により、CGI プログラムからの一部の内部リダイレクトのターゲットも CGI として扱われて実行される可能性があります。ターゲットは、CGI が有効になっているディレクトリに既にあり、mod_mimeが理解できる他の拡張がない必要があります。この問題は Apache HTTP Server 2.4.60 ～ 2.4.68 に影響します。(CVE-2026-42356)

  - Apache httpd 2.4.67 以前の mod_dav のメモリ計算バグにより、WebDAV ロックを作成する権限のある攻撃者が、サーバーの子プロセスをクラッシュさせる可能性があります。ユーザーは、この問題を修正するバージョン 2.4.69 にアップグレードすることが推奨されます(CVE-2026-42528)

  - ユニキャストリスナー上の Apache HTTP サーバー mod_heartmonitor NULL ポインターデリファレンスの脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。(CVE-2026-46729)

  - HTTP Server の mod_session_cookie モジュールにある、権限のない攻撃者への機密情報の漏洩Apache脆弱性。SessionCookieRemove が内部リダイレクト全体で変更を行う際に、セッションクッキーが引き続きバックエンドサーバーに渡される可能性があります。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。
    (CVE-2026-47360)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

CentOS Linux 8.5 ホストに、TuxCare CENTOS8.5:CLSA-2026:1791391794 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache HTTP Server の mod_heartmonitor におけるユニキャストリスナー経由の NULL ポインターデリファレンスの脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。(CVE-2026-46729)

  - Apache HTTP Server の mod_charset_lite における領域外書き込みの脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。(CVE-2026-56153)

  - Apache HTTP Server の mod_rewrite における先読み使用時のメモリ解放後使用 (Use After Free) の脆弱性 (%{LA-U:HTTP:...}) この問題は Apache HTTP Server の 2.4.0 から 2.4.68 までのバージョンに影響します。(CVE-2026-56154)

  - Apache HTTP Server の mod_proxy_html における、細工された HTTP レスポンスボディによる範囲外書き込みの脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。(CVE-2026-56449)

  - Apache Software Foundation の Apache HTTP Server の、すべてのプラットフォームにおける 2.4.68 までのバージョンの mod_vhost_alias に存在するスタックベースのバッファオーバーフローにより、VirtualDocumentRoot がホスト名フォーマット指定子を使用し、かつ LimitRequestFieldSize がデフォルト値より大きく引き上げられている場合に、8192 バイトを超える Host ヘッダーを含む HTTP リクエストを介して、リモートのクライアントがサービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。ユーザーには、この問題を修正したバージョン 2.4.69 へのアップグレードをお勧めします。(CVE-2026-63292)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1791538487アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache HTTP Server の不適切なハンドラーの脆弱性の展開により、CGI プログラムからの一部の内部リダイレクトのターゲットも CGI として扱われて実行される可能性があります。ターゲットは、CGI が有効になっているディレクトリに既にあり、mod_mimeが理解できる他の拡張がない必要があります。この問題は Apache HTTP Server 2.4.60 ～ 2.4.68 に影響します。(CVE-2026-42356)

  - Apache httpd 2.4.67 以前の mod_dav のメモリ計算バグにより、WebDAV ロックを作成する権限のある攻撃者が、サーバーの子プロセスをクラッシュさせる可能性があります。ユーザーは、この問題を修正するバージョン 2.4.69 にアップグレードすることが推奨されます(CVE-2026-42528)

  - Apache HTTP Server の mod_heartmonitor におけるユニキャストリスナー経由の NULL ポインターデリファレンスの脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。(CVE-2026-46729)

  - HTTP Server の mod_session_cookie モジュールにある、権限のない攻撃者への機密情報の漏洩Apache脆弱性。SessionCookieRemove が内部リダイレクト全体で変更を行う際に、セッションクッキーが引き続きバックエンドサーバーに渡される可能性があります。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。
    (CVE-2026-47360)

  - 全プラットフォームで 2.4.69 前の Apache Software Foundation Apache HTTP Server の mod_auth_digest の認証チェックが欠如しているため、Digest 認証が AuthDigestNcCheck で有効化されている場合、認証されていないリモートクライアントが、偽造された承認ヘッダーを介してサービス拒否(強制的な再認証)を引き起こす可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 2.4.69 へのアップグレードをお勧めします。
    (CVE-2026-48005)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

CentOS Linux 8 ホストに、TuxCare CENTOS-STREAM8:CLSA-2026:1791396690 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache HTTP Server の mod_heartmonitor におけるユニキャストリスナー経由の NULL ポインターデリファレンスの脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。(CVE-2026-46729)

  - Apache HTTP Server の mod_charset_lite における領域外書き込みの脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。(CVE-2026-56153)

  - Apache HTTP Server の mod_rewrite における先読み使用時のメモリ解放後使用 (Use After Free) の脆弱性 (%{LA-U:HTTP:...}) この問題は Apache HTTP Server の 2.4.0 から 2.4.68 までのバージョンに影響します。(CVE-2026-56154)

  - Apache HTTP Server の mod_proxy_html における、細工された HTTP レスポンスボディによる範囲外書き込みの脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.68 に影響します。(CVE-2026-56449)

  - Apache Software Foundation の Apache HTTP Server の、すべてのプラットフォームにおける 2.4.68 までのバージョンの mod_vhost_alias に存在するスタックベースのバッファオーバーフローにより、VirtualDocumentRoot がホスト名フォーマット指定子を使用し、かつ LimitRequestFieldSize がデフォルト値より大きく引き上げられている場合に、8192 バイトを超える Host ヘッダーを含む HTTP リクエストを介して、リモートのクライアントがサービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。ユーザーには、この問題を修正したバージョン 2.4.69 へのアップグレードをお勧めします。(CVE-2026-63292)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、ed670f20-bdc3-11f1-a6ea-8447094a420f のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Apache httpd プロジェクトレポート

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 全プラットフォームの 2.4.68 を通じた Apache Software Foundation Apache HTTP Server の mod_vhost_alias のスタックベースのバッファオーバーフローにより、VirtualDocumentRoot がホスト名フォーマット指定子を使用し、LimitRequestFieldSize がデフォルト値を超える場合、リモートクライアントが、Host ヘッダーが 8192 バイトを超える HTTP リクエストを通じて、サービス拒否を引き起こしたり、任意のコードを実行する可能性があります。ユーザーには、この問題を修正したバージョン 2.4.69 へのアップグレードをお勧めします。(CVE-2026-63292)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115643	Apache 2.4.x < 2.4.69 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/8	2026/10/8	critical
362655	Apache 2.4.x < 2.4.69 の複数の脆弱性	Nessus	Web Servers	2026/10/2	2026/10/9	critical
363878	CentOS Linux 8.5 [TuxCare] セキュリティ更新プログラム: httpd/httpd-devel/httpd-filesystem/httpd-manual/httpd-tools/etc の複数の脆弱性 (CENTOS8.5:CLSA-2026:1791391794)	Nessus	CentOS Local Security Checks	2026/10/7	2026/10/9	critical
364432	AlmaLinux 9.2 [TuxCare] セキュリティ更新:httpd/httpd-core/httpd-devel/httpd-filesystem/httpd-manual/etc 複数の脆弱性(ALMALINUX9.2:CLSA-2026:1791538487)	Nessus	Alma Linux Local Security Checks	2026/10/9	2026/10/9	critical
363874	CentOS Linux 8 [TuxCare] セキュリティ更新プログラム: httpd/httpd-devel/httpd-filesystem/httpd-manual/httpd-tools/etc の複数の脆弱性 (CENTOS-STREAM8:CLSA-2026:1791396690)	Nessus	CentOS Local Security Checks	2026/10/7	2026/10/9	critical
362474	FreeBSD : Apache httpd -- 複数の脆弱性 (ed670f20-bdc3-11f1-a6ea-8447094a420f)	Nessus	FreeBSD Local Security Checks	2026/10/1	2026/10/9	critical
362613	Linux Distros のパッチ未適用の脆弱性: CVE-2026-63292	Nessus	Misc.	2026/10/2	2026/10/5	high

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

high