脆弱性調査した会社にどのosをセキュリティ的に遣うべきか言われなかった？

その使ってるレッドハットのバージョンが低過ぎるって言われてるはず。

rhel4の最新か、rhel5の最新なら問題ないでしょ。
公式パッケージが含まれる公式アップグレードしないのが悪い。