low: mod_rewrite use-after-free via %{LA-U:HTTP:…} (CVE-2026-56154)

概要
Apache HTTP Serverのmod_rewriteで、先読み(%{LA-U:HTTP:…})を使用した場合に解放済みメモリ使用(Use After Free)の脆弱性があります。識別番号はCVE-2026-56154、深刻度はlowです。発見者はNebula Security(@nebusecurity)で、セキュリティチームへの報告日は2026-05-25です。

影響対象
Apache HTTP Server 2.4.0から2.4.68までが対象です。影響条件は、mod_rewriteで先読み(%{LA-U:HTTP:…})を使用している場合です。

修正版
2.4.69で修正されています(リリース日2026-10-01)。原文には2.4.x系での修正として「r19386602026-10-01」とあり、リビジョンr1938660と日付2026-10-01が連結された表記と読めますが、区切りは原文上明確ではありません。

回避策
原文に記載がなく、未確認です。

不明点
以下は原文に記載がなく、未確認です。
・悪用された場合の具体的な影響(サービス停止、情報漏えい、コード実行の可否など)
・攻撃に必要な詳細条件や、認証の要否
・CVSSスコア
・実際の悪用状況
・2.4.69以外の修正手段や、ディストリビューション提供パッケージでの対応状況
・2.4.0より前の版や2.4系以外の版への影響