low: mod_userdir information disclosure (CVE-2026-79768)

概要
CVE-2026-79768は、Apache HTTP Serverのmod_userdirモジュールにおける情報漏えいの脆弱性で、深刻度はlowとされています。「/./」(単一ドットのディレクトリ)によるパス等価性の問題で、UserDirディレクティブを絶対パスかつワイルドカードなしの形式(公式ドキュメント記載の2番目の形式)で設定している場合に該当します。発見者はMarlink CyberのVlatko Kosturjak氏で、セキュリティチームへの報告は2026-08-14です。

影響対象
Apache HTTP Server 2.4.0から2.4.68まで。上記のUserDir設定でmod_userdirを使用している場合が条件です。

修正版
2.4.xではリビジョンr1938680で修正され(原文では日付2026-10-01と連続表記されているため、番号と日付の区切りはこの読み方によります)、修正版の2.4.69が2026-10-01にリリースされました。

回避策
原文に記載がなく未確認です。

不明点
漏えいする情報の具体的な内容、攻撃の前提条件や悪用の難易度、CVSSスコア、悪用事例の有無、他の設定形式への影響有無はいずれも未確認です。