Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - MongoDB PHP 驅動程式中的 BSON 編碼器在文件超過 libbson 的大小限制後不會檢查某些傳回值。這可能會讓編碼器處於無效狀態。未經身份驗證的執行者如果可能導致受影響的應用程式編碼異常大的資料結構，則可以終止 PHP 工作程式或導致產生的文件省略欄位。不需要 MongoDB 伺服器連線或資料庫驗證。（CVE-2026-106436）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - MongoDB PHP 驱动程序中的 BSON 编码器在文档超出 libbson 的大小限制后未检查某些返回值。这可使编码器处于无效状态。未经身份验证的执行者可造成受影响的应用程序编码异常大的数据结构，则可终止 PHP 工作线程或造成生成的文档遗漏字段。不需要 MongoDB 服务器连接或数据库认证。（CVE-2026-106436）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 44 ホストには、FEDORA-2026-4a5aaed9f5 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## バージョン 2.1.12

    リリースのハイライト

    - PHPC-276:深くネスト化した BSON をデコードする際のスタック枯渇を防止
    - PHPC-276:CodeWScope スコープのデコードネスト制限を実施します


    ----

    ## バージョン 2.1.11

    リリースのハイライト

    - PHPC-2739:BSON 追加操作の戻り値をチェックします。**CVE-2026-106436**
    - PHPC-2741:追加の長さ BSON の長さチェックを追加します。**CVE-2026-106432**

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MongoDB PHP ドライバーの BSON エンコーダーは、ドキュメントが libbbson のサイズ制限を超えた後、一部の戻り値をチェックしません。これにより、エンコーダーが無効な状態のままになる可能性があります。影響を受けるアプリケーションに異常に大きなデータ構造をエンコードさせることができる認証されていない攻撃者が、PHP Worker を終了させたり、結果として生成されるドキュメントにフィールドを省略させたりする可能性があります。MongoDB サーバー接続またはデータベース認証は必要ありません。(CVE-2026-106436)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-1ed9f02b1e のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## バージョン 2.1.12

    リリースのハイライト

    - PHPC-276:深くネスト化した BSON をデコードする際のスタック枯渇を防止
    - PHPC-276:CodeWScope スコープのデコードネスト制限を実施します


    ----

    ## バージョン 2.1.11

    リリースのハイライト

    - PHPC-2739:BSON 追加操作の戻り値をチェックします。**CVE-2026-106436**
    - PHPC-2741:追加の長さ BSON の長さチェックを追加します。**CVE-2026-106432**

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-4a5aaed9f5 advisory.

    ## Version 2.1.12

    Release Highlights

    -    PHPC-276: Prevent stack exhaustion when decoding deeply nested BSON
    -    PHPC-276: Enforce the decode nesting limit for CodeWScope scopes


    ----

    ## Version 2.1.11

    Release Highlights

    -    PHPC-2739: Check returns of BSON append operations. **CVE-2026-106436**
    -    PHPC-2741: Add additional length BSON length checks. **CVE-2026-106432**

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The BSON encoder in the MongoDB PHP Driver does not check some return values after a document exceeds     libbson's size limit. This can leave the encoder in an invalid state. An unauthenticated actor who can     cause an affected application to encode an unusually large data structure can terminate the PHP worker or     cause the resulting document to omit fields. No MongoDB server connection or database authentication is     required. (CVE-2026-106436)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-1ed9f02b1e advisory.

    ## Version 2.1.12

    Release Highlights

    -    PHPC-276: Prevent stack exhaustion when decoding deeply nested BSON
    -    PHPC-276: Enforce the decode nesting limit for CodeWScope scopes


    ----

    ## Version 2.1.11

    Release Highlights

    -    PHPC-2739: Check returns of BSON append operations. **CVE-2026-106436**
    -    PHPC-2741: Add additional length BSON length checks. **CVE-2026-106432**

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 45 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-ce7737d311 advisory.

    ## Version 2.5.5

    Release Highlights

    -    PHPC-276: Prevent stack exhaustion when decoding deeply nested BSON
    -    PHPC-276: Enforce the decode nesting limit for CodeWScope scopes


    ----

    ## Version 2.5.4

    Release Highlights

    -    PHPC-2739: Check returns of BSON append operations. **CVE-2026-106436**
    -    PHPC-2741: Add additional length BSON length checks. **CVE-2026-106432**
    -    PHPC-2505: Fix foreach iteration of MongoDB\Driver\Cursor after garbage collection.


    ----

    ## Version 2.5.3

    * PHPC-2435: Support libmongoc 2.0
    * PHPC-2591, PHPC-2594: Upgrade bundled libmongoc and libmongocrypt dependencies
    * DRIVERS-3105 Add mention of semver
    * Update installation instruction to use `pie`
    * PHPC-2601: Add crypt_shared version to a manager's debug output
    * Minor follow-up work for libmongoc 2 support
    * use ZSTR_IS_INTERNED()
    * Fix dependabot configuration to only update single submodule
    * Fix links to spec documents, migrated from rst to md
    * Upload test results to codecov.io
    * PHPC-2474: Support Binary vector subtype
    * PHPC-2627: Use appropriate return type for zend_object_iterator_funcs.valid
    * PHPC-2638 and PHPC-2630: Bump to libmongoc 2.1.2 and libmongocrypt 1.16.0
    * PHPC-2634: Binary vector corpus tests
    * PHPC-2654: Update to libmongoc 2.2.1
    * PHPC-2649: Update to libmongocrypt 1.17.0
    * PHPC-2664: Drop Windows x86 builds
    * PHPC-2669: Compatibility for PHP 8.6-dev
    * Upgrade bundled dependencies
    * PHPC-2689: Throw LogicException in Binary::getVectorType() and toArray()
    * PHPC-2679: Test PHP 8.5 on Evergreen
    * [PHPC-2647] Out-of-source build: Don't necessarily generate flies in the source tree
    * Add Jrme and Pauline as maintainers
    * PHPC-1971: Use debug builds of PHP for testing
    * Make bson-enum_error resilient to PHP 8.6 interface handler order
    * Stabilize enum interface error handling and tests
    * PHPC-2215: Replace php_phongo prefix
    * Add configuration for Claude Code
    * Harden code after AI-assisted review
    * PHPC-1988: base64 encode binary data when debugging
    * PHPC-2160: Extract calls to bsonSerialize and remove unnecessary check function
    * Use `zend_array_is_list` in `phongo_is_array_or_document`
    * PHPC-2024: Introduce macros for simpler class declarations
    * PHPC-2530: Deprecate hedged reads
    * PHPC-2486: Require non-null namespace and database arguments in Manager
    * Avoid string length calculations for bson_append calls
    * Improve testing notes in CLAUDE.md
    * Add tests to improve coverage of untested or under-tested APIs
    * PHPC-2500: Skip errorLabels assignment for non-RuntimeException exceptions
    * Make bson-enum_error resilient to PHP 8.6 interface handler order
    * Add macros to simplify handling of internal structs
    * Use DBX PR app to create merge-up pull requests
    * PHPC-2699: Add typed, read-only properties for value objects and events
    * PHPC-2700: Fix cloning Javascript objects without a scope
    * Use `json_decode` to produce a non-interned string in typeMap test
    * Generate legacy arginfo for older PHP versions
    * Remove `phongo_write_concern_to_zval`
    * PHPC-2699: Rename durationMicros properties
    * PHPC-1519: Remove phongo_server_to_zval and include Server objects in Manager debug output
    * Remove tests that only ran on PHP 7 and clean up version-specific SKIPIFs
    * PHPC-2699: Add readonly properties to WriteConcernError class
    * Remove extra structs for objects with properties
    * PHPC-1514 Remove `php_phongo_read_concern_to_zval`
    * PHPC-2702 PHPC-2698 Upgrade libmongoc to 2.3.0 and libmongocrypt to 1.17.3
    * PHPC-2695 Replace deprecated bson_append_array_begin with bson_append_array_unsafe_begin
    * Relax check on internal object id, not relevant for the test
    * Remove unnecessary structs for BSON MinKey and MaxKey classes
    * PHPC-2660 Test that killCursors is sent after a connection error during getMore
    * PHPC-1627 Support object cloning for ReadConcern, ReadPreference, and WriteConcern
    * Update release instructions
    * PHPC-2714: Fix in-tree PHP builds
    * Fix ZVAL_STATIC_INIT macro formatting for clang-format compatibility
    * Replace XtOffsetOf() with offsetof() for PHP 8.6
    * Backport: Replace XtOffsetOf with offsetof for PHP 8.6 compatibility
    * PHPC-2715: Fix out-of-source-tree builds
    * PHPC-2647, PHPC-2715: Fix all possible build configurations (standalone vs. in-tree, in-source vs. out-     of-source)
    * Use debug env var for debug builds
    * Implement memory handling correctness fixes
    * PHPC-2721: Exclude generated config headers from PECL package
    * PHPC-2721: Test PECL package installation on Alpine Linux
    * PHPC-2708: Automatically create new minor version branch on release
    * PHPC-2724: Bump libmongocrypt to 1.19.0
    * PHPC-2729: Bump libmongocrypt to 1.20.0
    * PHPC-2731: Pin libmongocrypt runtime and dev packages in lockstep
    * DEVPROD-34208: use Silkbomb image from ECR instead of Artifactory
    * PHPC-2738: Escape release notes when generating package.xml
    * PHPC-2728: Add `stringOpts` support and bump libmongoc 2.4.0
    * PHPC-2708: Update release docs and add version-transition reminders
    * Update maintainers: add Kevin Albertson, mark Andreas Braun inactive
    * PHPC-2753 Add link to ECR log-in
    * PHPC-2742: Bump libmongocrypt to 1.20.2
    * PHPC-2755: Fix test suite failures with PHP 8.6
    * PHPC-2751: Upgrade libmongoc to 2.5.0
    * PHPC-2745: Reject null bytes in namespaces and periods in database names [v2.4]
    * PHPC-2754: Update libmongocrypt to 1.20.3
    * PHPC-2756: Upgrade libmongoc to 2.5.1
    * PHPC-2763 PHPC-2757 Upgrade libmongoc to 2.5.2 and libmongocrypt to 1.20.4
    * PHPC-2744 Fix dependency issue
    * PHPC-2771: Upgrade libmongoc to 2.5.4
    * PHPC-2773: Upgrade libmongoc to 2.5.5
    * PHPC-2743: Fix `__pclass` inference in events


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
364514	Linux Distros 未修補弱點：CVE-2026-106436	Nessus	Misc.	2026/10/10	2026/10/31	medium
364514	Linux Distros 未修补的漏洞：CVE-2026-106436	Nessus	Misc.	2026/10/10	2026/10/31	medium
371745	Fedora 44:php-pecl-mongodb2(2026-4a5aaed9f5)	Nessus	Fedora Local Security Checks	2026/10/24	2026/10/24	medium
364514	Linux Distros のパッチ未適用の脆弱性: CVE-2026-106436	Nessus	Misc.	2026/10/10	2026/10/31	medium
371747	Fedora 43:php-pecl-mongodb2(2026-1ed9f02b1e)	Nessus	Fedora Local Security Checks	2026/10/24	2026/10/24	medium
371745	Fedora 44 : php-pecl-mongodb2 (2026-4a5aaed9f5)	Nessus	Fedora Local Security Checks	2026/10/24	2026/10/24	medium
364514	Linux Distros Unpatched Vulnerability : CVE-2026-106436	Nessus	Misc.	2026/10/10	2026/10/31	medium
371747	Fedora 43 : php-pecl-mongodb2 (2026-1ed9f02b1e)	Nessus	Fedora Local Security Checks	2026/10/24	2026/10/24	medium
374652	Fedora 45 : php-pecl-mongodb2 (2026-ce7737d311)	Nessus	Fedora Local Security Checks	2026/10/31	2026/10/31	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium