low: mod_xml2enc crash on charset conversion failure (CVE-2026-63686)

概要
CVE-2026-63686は、Apache Software FoundationのApache HTTP Serverに含まれるmod_xml2encのNULLポインタ参照の脆弱性で、深刻度はlowです。信頼できないバックエンドサーバが、変換が途中まで成功した後に失敗するcharsetを指定したプロキシ応答を返すと、サービス拒否(クラッシュ)を引き起こせます。報告受領日は2026-06-14で、発見者はLucian Nitescu氏とZhen Kong氏です。

影響対象
Apache HTTP Server 2.4.0から2.4.68まで(2.4.69より前)が対象で、全プラットフォームが影響を受けます。影響条件は、mod_xml2encがプロキシ応答を処理し、その応答のcharset変換が部分的に成功した後に失敗する場合です。

修正版
2.4.69で修正されています。2.4.xではr1938678で修正され、2.4.69は2026-10-01にリリースされました。原文では2.4.69へのアップグレードが推奨されています。

回避策
原文に記載がないため未確認です。

不明点
CVSSスコア、実際の悪用状況、問題を引き起こす具体的なcharsetの種類、2.4.0より前のバージョンへの影響は、いずれも原文に記載がないため未確認です。