CVE-2026-18798

概要
CVE-2026-18798（深刻度Moderate、2026年8月25日公開）は、OpenSSLのQUICサーバーがINITIALパケットを処理する際に二重解放（CWE-415）を起こす脆弱性です。デフォルトパケットハンドラport_default_packet_handler()は、検証用に作成したQRXオブジェクトをport_bind_channel()に渡します。チャネル作成に失敗すると、port_bind_channel()がQRXを解放し、さらに呼び出し元のエラー処理でも同じQRXが解放されます。この失敗は、DCIDが8バイト未満であるRFC 9000非準拠の不正なINITIALパケットによって比較的容易に引き起こせます。ヒープ破損により、通常はQUICサーバープロセスが終了し、サービス拒否に至ります。リモートコード実行に悪用可能な証拠は現時点で無く、可能性は極めて低いとされています。

影響対象
OpenSSL 4.0.0以上4.0.2未満、3.6.0以上3.6.4未満、3.5.0以上3.5.8未満のQUICサーバー。QUIC実装はFIPSモジュールの境界外にあるため、FIPSモジュールは影響を受けません。

修正版
4.0.2、3.6.4、3.5.8（各版の修正コミットが参照されています）。

回避策
未確認（原文に記載がありません）。

不明点
CVSSスコア、実際の悪用状況、上記以外の版への影響、回避策の有無はいずれも未確認です。