リモートの Fedora 42 ホストには、FEDORA-2026-3a58db70ca のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    **PHP バージョン 8.4.21** (2026 年 5 月 7 日)

    **Core:**

    * バグ [GH-19983](https://github.com/php/php-src/issues/19983) (ファイバー、ジェネレーター、デストラクターによる GC アサーションエラー) を修正しました。(iliaal)
    * バグ [GH-21478](https://github.com/php/php-src/issues/21478) (初期化された遅延プロキシに対して、プロパティ操作を実インスタンスに転送する) を修正しました。(iliaal)
    * バグ [GH-21605](https://github.com/php/php-src/issues/21605) (Countable::count() の addref がない) を修正しました。(ilutov)
    * バグ [GH-21699](https://github.com/php/php-src/issues/21699) (エラーハンドラーがスローされる場合の、self::/parent::/static:: callables を解決するときの shutdown_executor でのアサーション失敗) を修正しました。
    (macoaure)
    * バグ [GH-21603](https://github.com/php/php-src/issues/21603) (__unset の addref がない) を修正しました。(ilutov)
    * バグ [GH-21760](https://github.com/php/php-src/issues/21760)(クラス定数名を持つトレイトが enum のケースと競合すると SEGV が発生) を修正しました。(Pratik Bhujel)

    **CLI:**

    * バグ [GH-21754](https://github.com/php/php-src/issues/21754) (メソッドを伴う「--rf」コマンドラインオプションが ext/reflection 廃止警告をトリガーする) を修正しました。(DanielEScherzer)

    **Curl:**

    * Windows で brotli および zstd のサポートを追加します。(Shivam Mathur)

    **DOM:**

    * [GHSA-4jhr-8w89-j733](https://github.com/php/php-src/security/advisories/GHSA-4jhr-8w89-j733) および [GH-21566](https://github.com/php/php-src/issues/21566) (Dom\XMLDocument::C14N() が setAttributeNS() の後に重複する xmlns 宣言を出力) を修正しました。(**CVE-2026-7263**) (David Carlier)
    * バグ [GH-21688](https://github.com/php/php-src/issues/21688) (空の HTMLDocument のセグメンテーション違反) を修正しました。(David Carlier 氏)
    * lexbor v2.7.0 にアップグレードしてください。(**CVE-2026-29078**、**CVE-2026-29079**) (ndossche、ilutov)

    **FPM:**

    * [GHSA-7qg2-v9fj-4mwv](https://github.com/php/php-src/security/advisories/GHSA-7qg2-v9fj-4mwv) (ステータスエンドポイント内の XSS) を修正しました。(**CVE-2026-6735**) (Jakub Zelenka)

    **Iconv:**

    * バグ [GH-17399](https://github.com/php/php-src/issues/17399) (救済における iconv のメモリリーク) を修正しました。
    (iliaal)

    **MBString:**

    * [GHSA-wm6j-2649-pv75](https://github.com/php/php-src/security/advisories/GHSA-wm6j-2649-pv75) (mb_ereg_search_init() による php_mb_check_encoding() での NULL ポインターデリファレンス) を修正しました。(**CVE-2026-7259**) (vi3tL0u1s)
    * [GHSA-74r9-qxhc-fx53](https://github.com/php/php-src/security/advisories/GHSA-74r9-qxhc-fx53) (mbfl_name2encoding_ex() での領域外アクセス) を修正しました。(**CVE-2026-6104**) (ilutov)

    **Opcache:**

    * バグ [GH-21158](https://github.com/php/php-src/issues/21158) (JIT: アサーション jit->ra[var].flags & (1<<0) が zend_jit_use_reg で失敗した) を修正しました。(Arnaud)
    * バグ [GH-21593](https://github.com/php/php-src/issues/21593) (Borked 関数 JIT JMPNZ スマートブランチ) を修正しました。(ilutov)
    * バグ [GH-21460](https://github.com/php/php-src/issues/21460) (COND 最適化回帰) を修正しました。
    (Dmitry、Arnaud)
    * zend_jit_trace() の zend_try ブロックからの誤ったリターンを修正しました。(ilutov)

    **OpenSSL:**

    * エッジケースでの多数のメモリリークとクラッシュを修正します。(ndossche)

    **PDO_Firebird:**

    * [GHSA-w476-322c-wpvm](https://github.com/php/php-src/security/advisories/GHSA-w476-322c-wpvm) (引用符で囲まれた文字列の NULL バイトによる SQL インジェクション) を修正しました。(**CVE-2025-14179**) (SakiTakamachi)

    **Phar:**

    * phar_intercept_functions_shutdown で is_link ハンドラーを復元します。(iliaal)
    * バグ [GH-21797](https://github.com/php/php-src/issues/21797) (phar:SCRIPT_NAME が SAPI 環境にないときの Phar::webPhar() の NULL 逆参照) を修正しました。(iliaal)
    * Phar::offsetGet() でのメモリリークを修正します。(iliaal)
    * phar_add_file() でのメモリリークを修正します。(iliaal)
    * バグ [GH-21799](https://github.com/php/php-src/issues/21799) (phar: phar_stream_close から phar_stream_flush の戻り値を伝播) を修正しました。(iliaal)
    * md_ctx が無効な場合の phar_verify_signature() でのメモリリークを修正します。(JarneClauw)

    **Random:**

    * バグ [GH-21731](https://github.com/php/php-src/issues/21731) (Random\Engine\Xoshiro256StarStar::__unserialize() はすべてゼロ状態を受け入れる) を修正しました。(iliaal)

    **Session:**

    * セッション GC コールバックが refcounted 値を返す際のメモリリークを修正しました。(jorgsowa)

    **SOAP:**

    * [GHSA-85c2-q967-79q5](https://github.com/php/php-src/security/advisories/GHSA-85c2-q967-79q5) (Apache Map を伴う古い SOAP_GLOBAL(ref_map) ポインター) を修正しました。(**CVE-2026-6722**) (ilutov)
    * [GHSA-m33r-qmcv-p97q](https://github.com/php/php-src/security/advisories/GHSA-m33r-qmcv-p97q) (SOAP_PERSISTENCE_SESSION によるヘッダー解析失敗後の use-after-free) を修正しました。(**CVE-2026-7261**) (ilutov)
    * [GHSA-hmxp-6pc4-f3vv](https://github.com/php/php-src/security/advisories/GHSA-hmxp-6pc4-f3vv) (壊れた Apache マップ値の NULL チェック) を修正しました。(**CVE-2026-7262**) (ilutov)

    **SPL：**

    * バグ [GH-21499](https://github.com/php/php-src/issues/21499) (RecursiveArrayIterator の親解放後の getChildren UAF) を修正しました。(Girgios 氏)
    * SplObjectStorage の同時反復と削除の問題を修正します。(ndossche)

    **Standard:**

    * [GHSA-96wq-48vp-hh57](https://github.com/php/php-src/security/advisories/GHSA-96wq-48vp-hh57) (char 配列オフセットの符号付き整数オーバーフロー) を修正しました。(**CVE-2026-7568**) (TimWolla)
    * [GHSA-m8rr-4c36-8gq4](https://github.com/php/php-src/security/advisories/GHSA-m8rr-4c36-8gq4) (符号なし char を ctype.h 関数に一貫して渡す) を修正しました。(**CVE-2026-7258**) (ilutov)

    **Streams:**

    * バグ [GH-21468](https://github.com/php/php-src/issues/21468) (https URL およびプロキシセットによる file_get_contents のセグメンテーション違反) を修正。(ndossche)

    **XSL:**

    * バグ [GH-21600](https://github.com/php/php-src/issues/21600) (モジュールシャットダウンのセグメンテーション違反) を修正しました。(David Carlier 氏)

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Fedora 42 : php (2026-3a58db70ca)

critical Nessus プラグイン ID 314603

バージョン 1.2

バージョン 1.1

バージョン 1.2 May 15, 2026, 6:15 PM Plugin metadata (Add IAVM Info) Plugin Feed: 202605151815
バージョン 1.1 May 14, 2026, 3:37 PM New Plugin Feed: 202605141537