low: mod_ssl SSLRequire allows .htaccess ap_expr file-function (CVE-2026-59797)

概要
CVE-2026-59797。重要度はlow。Apache HTTP Serverのmod_sslにおける不適切な権限管理(Improper Privilege Management)の脆弱性です。表題によれば、SSLRequireにより.htaccessからap_exprのfile関数が使用できてしまう問題で、SSLRequireとファイル関連の式が関係します。発見者としてkimchunbok、l1nx1n、Juthawong Naisanguansee、Charles Vosburgh、Mike Read、Ryoma Nishiokaの各氏が記載されています。

影響対象
Apache HTTP Server 2.4.0から2.4.68まで。悪用に必要な具体的な前提条件や設定は、原文に詳しい記載がなく未確認です。

修正版
2.4.x系ではr1938672で修正(2026-10-01)。同日に2.4.69がリリースされたと記載されています。影響範囲が2.4.68までとされていることから、2.4.69が修正版と読み取れます。なお、セキュリティチームへの報告日は2026-06-28です。

回避策
原文に記載がなく未確認です。

不明点
CVSSスコア、攻撃の具体的な条件や影響の詳細(どの権限で何が可能になるか)、実際の悪用の有無、回避策の有無はいずれも原文に記載がなく未確認です。