Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Composer は、PHP の依存関係マネージャーです。バージョン 1.0 から 2.2.26 および 2.3 から 2.9.5 には、Perforce::generateP4Command() メソッドにコマンドインジェクションの脆弱性があります。このメソッドは、ユーザーが入力した Perforce の接続パラメーター (ポート、ユーザー、クライアント) を適切にエスケープせずにシェルコマンドへ埋め込んで構築しているためです。攻撃者は、Perforce の VCS リポジトリを宣言した悪意のある composer.json にこれらの値を仕込むことで任意のコマンドを注入でき、Perforce がインストールされていない場合でも、Composer を実行しているユーザーの権限のもとでコマンドが実行される可能性があります。VCS リポジトリは、root の composer.json または composer 設定ディレクトリからのみ読み込まれるため、依存関係としてインストールされたパッケージの composer.json ファイルを介してこの脆弱性が悪用されることはありません。ユーザーは、攻撃者によって提供された信頼できない composer.json を含むプロジェクトに対して Composer コマンドを実行した場合、リスクに晒されます。この問題は Composer 2.2.27 (2.2 LTS) および 2.9.6 (メインライン) で修正されています。(CVE-2026-40176)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-40176

high Nessus プラグイン ID 306581

バージョン 1.9