Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Caddy は、デフォルトで TLS を使用する拡張可能なサーバープラットフォームです。バージョン 2.11.1 より前では、Caddy の FastCGI パス分割ロジックは、リクエストパスの小文字コピーで分割インデックスを計算し、そのバイトインデックスを使用して元のパスをスライスします。「strings.ToLower()」は一部の文字の UTF-8 バイト長を変更する可能性があるため、これは Unicode にとって安全ではありません。その結果、Caddy は正しくない「SCRIPT_NAME」/「SCRIPT_FILENAME」および「PATH_INFO」を派生でき、「.php」を含むリクエストが意図したものと異なるディスク上のファイルを実行する (パス混同) 可能性があります。攻撃者がファイル内容を制御できる環境 (例: アップロード機能) では、.php 以外のファイルが意図せず PHP として実行される可能性があります (デプロイメント環境によっては潜在的な RCE)。バージョン 2.11.1 ではこの問題が修正されています。(CVE-2026-27590)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-27590

critical Nessus プラグイン ID 300053

バージョン 1.8