結論です。犯人は apache の設定ではありませんでした。
インストールして間もないうちに誰かが CGI で ZE****な
ファイルを作成していました。suEXEC は使っていないので
ファイルのユーザは httpd のユーザと同じで気が付き
ませんでした。
なかなか素敵なオチだったと思うのですが、いかがなもの
でしょうか？