【Ask_AI】Rocky Linux9を最新にしていた場合、CVE-2026-23918の影響を受けますか？

Ask_AI

2026.05.072026.05.08

【AIによる回答】

結論から申し上げますと、Rocky Linux 9を最新の状態にアップデートしていれば、CVE-2026-23918の影響を受ける可能性は極めて低い（または既に修正済みである）と言えます。

この脆弱性に関する詳細と、Rocky Linux 9における状況は以下の通りです。

1. CVE-2026-23918 の概要

これは、Apache HTTP Server (httpd) の HTTP/2 プロトコル処理に関する「ダブルフリー（メモリの二重解放）」の脆弱性です。

影響: サービス拒否 (DoS) や、特定の条件下でのリモートコード実行 (RCE) の恐れ。

対象バージョン: Apache httpd 2.4.66 のみが影響を受けます。

修正バージョン: Apache httpd 2.4.67 で修正されています。

2. Rocky Linux 9 への影響

Rocky Linux 9（およびその上流である RHEL 9）において、この脆弱性が問題にならない主な理由は以下の2点です。

バージョンの不一致: Red Hatの公式情報によると、RHEL/Rocky Linux 9 で提供されている mod_http2 パッケージや httpd 本体は、この脆弱性が含まれる特定のバージョン（2.4.66）とは異なるビルド構成をとっているか、既に修正済みのパッケージが提供されています。

迅速なパッチ適用: Rocky Linux 9 を「最新」にしている場合、リポジトリから提供される最新の httpd および mod_http2 パッケージには、この CVE に対する修正（バックポートパッチ）が既に適用されています。

3. 確認方法

念のため、ご自身の環境で以下のコマンドを実行し、パッケージが最新であることを確認してください。
Bash
# パッケージの更新を確認
sudo dnf update httpd mod_http2

# インストールされているバージョンを確認
rpm -q httpd mod_http2
[!IMPORTANT] もしご自身で Apache をソースコードからビルドして 2.4.66 を使用している場合は、直ちに 2.4.67 以上へアップデートする必要があります。OS標準のパッケージマネージャー（dnf）を使っている限りは、最新状態を維持していれば安全です。

Rocky Linux 9のようなエンタープライズ系ディストリビューションは、上流の RHEL (Red Hat Enterprise Linux) が公開した修正を数時間〜数日以内に取り込むため、常に dnf update を行っていれば、こうした深刻な脆弱性からは保護されます。

httpd-2.4.62-7.el9_7.3パッケージと脆弱性の関係を整理します。

項目内容

CVE-2026-23918 の対象 Apache httpd 2.4.66 のみ

このパッケージのベース Apache httpd 2.4.62

影響の有無 受けません

なぜ安全なのか？

バージョンが異なる: CVE-2026-23918 は Apache 2.4.66 という特定のバージョンで混入したバグです。Rocky Linux 9 が採用している 2.4.62 系には、そもそもその問題のコードが含まれていません。

バックポート方式: エンタープライズ向けの Linux（Rocky/RHEL）は、ベースバージョンを固定し、必要な修正だけを「バックポート（移植）」して取り込みます。そのため、バージョン番号が 2.4.62 のままでも、最新のセキュリティ修正（CVE-2025系など）は既に適用されています。

まとめ

httpd-2.4.62-7.el9_7.3 を使用している場合、2025年末時点での脆弱性は修正されており、かつ 2026年に発見された CVE-2026-23918 の影響対象外であるため、安心してご利用いただけます。

項目	内容
CVE-2026-23918 の対象	Apache httpd 2.4.66 のみ
このパッケージのベース	Apache httpd 2.4.62
影響の有無	受けません