自己報告されたバージョン番号によると、リモートホストで実行されているZabbixのバージョンは、6.0.45より前の6.0.x、7.0.24より前の7.0.x、7.4.8より前の7.4.xです。したがって、以下の複数の脆弱性による影響を受けます。

- ホストナビゲーターウィジェットのメンテナンスツールチップにある蓄積型クロスサイトスクリプティング(XSS)の脆弱性により、認証された(スーパーではない)管理者が、JavaScriptペイロードを使用してメンテナンス期間を作成する可能性があり、そのメンテナンス期間中にツールチップを開く任意のユーザーによって実行されます。(CVE-2026-23926)

- アイテム履歴ウィジェット(Zabbix 7.0 以降)またはプレーンテキストウィジェット(Zabbix 6.0)にある蓄積型クロスサイトスクリプティング(XSS)の脆弱性により、HTML 表示が有効なときに注入された JavaScript が実行される可能性があります。悪意のある JavaScript は、攻撃者がコントロールする監視対象ホストに由来する必要があります。(CVE-2026-23928)

- エージェント 2 Oracle プラグインに十分に保護されていない認証情報の脆弱性により、エージェント 2 に接続できるユーザーが、「サービス」パラメーターを通じて Oracle TNS 接続文字列を注入し、エージェント 2 を攻撃者の制御下にあるサーバーに接続させ、named セッションに保存された Oracle データベース認証情報を漏洩させる可能性があります。(CVE-2026-23927)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - エージェント 2 に接続できるユーザーは、「service」パラメーターを介して Oracle TNS 接続文字列を注入できます。
    これにより、エージェント 2 が攻撃者の制御下にあるサーバーに接続し、Oracle データベースの認証情報が名前付きセッションに保存されている場合は、それが漏洩する可能性があります。(CVE-2026-23927)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115511	Zabbix 6.0.x< 6.0.45の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/9/23	2026/9/23	high
115513	Zabbix 7.4.x< 7.4.8の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/9/23	2026/9/23	high
115512	Zabbix 7.0.x< 7.0.24の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/9/23	2026/9/23	high
315209	Linux Distros のパッチ未適用の脆弱性: CVE-2026-23927	Nessus	Misc.	2026/5/18	2026/9/2	medium

検出

プラグインの検索

high

high

high

medium