Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - PHPUnitはPHP用のテストフレームワークです。 12.5.8、 11.5.50、 10.5.62、 9.6.33、 8.5.52 より前のバージョンで、PHPT テスト実行におけるコードカバレッジデータの安全でない逆シリアル化に関連する脆弱性が発見されました。「cleanupForCoverage()」メソッドに脆弱性が存在し、検証なしにコードカバレッジファイルを逆シリアル化し、PHPT テストの実行前に悪意のある「.coverage」ファイルが存在した場合、リモートコードの実行が引き起こされる可能性があります。この脆弱性は、テストの実行前に存在すべきでない「.coverage」ファイルが「allowed_classes」パラメーター制限なしで逆シリアル化されると発生します。ローカルファイルの書き込みアクセス権を持つ攻撃者が、「__wakeup()」メソッドを使用して悪意のあるシリアル化されたオブジェクトをファイルシステムに配置する可能性があります。これにより、コードカバレッジインストルメンテーションが有効になっているテスト実行中に任意のコードが実行される可能性があります。この脆弱性には、PHPUnitがPHPTテスト用のコードカバレッジファイルを保存または想定する場所へのローカルファイル書き込みアクセスが必要です。これは、CI/CD パイプライン攻撃、ローカルの開発環境、侵害された依存関係を通じて発生する可能性があります。メンテナーは、「['allowed_classes' => false]」を介して入力をサイレントにサニタイズするだけでなく、PHPT テスト用の既存の「.coverage」ファイルをエラー状態として扱うことで、異常な状態を明示的にします。バージョン 12.5.8、 11.5.50、 10.5.62、 9.6.33のバージョンで起動されて、実行前の PHPT テストで「.coverage」ファイルが検出されると、PHPUnit は異常な状態を識別する明確なエラーメッセージを出力します。
    企業は、エフェメラルランチャー、コードレビューの強制、ブランチ保護、アーチファクトの分離、アクセスコントロールなどの適切な CI/CD 設定を通じて、この脆弱性の効果的なリスクを減らすことができます。CVE-2026-24765

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-24765

high Nessus プラグイン ID 297036

バージョン 1.3