リモートの Debian 13 ホストには、dsa-6429 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6429-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 8 月 11 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : wpa CVE ID : CVE-2026-27585 CVE-2026-27587 CVE-2026-27588 CVE-2026-27589 CVE-2026-27590 CVE-2026-45692 CVE-2026-52845 CVE-2026-52846

    自動 HTTPS 機能付きのウェブサーバーである Caddy に、複数のセキュリティ問題が発見されました。その問題により、パスまたはホストベースのアクセスコントロールのバイパス、FastCGI バックエンドによる意図しないファイルの実行、Caddy の背後で実行しているアプリケーションが信頼する ID ヘッダーの注入、管理 API を通じたサーバーの未承認の再設定、またはクロスサイトスクリプティングが発生する可能性があります。

    CVE-2026-52845 の修正は、オプトアウトなしですべてのサーバーに対して、名前にアンダースコアを含むすべてのリクエストヘッダーをドロップする Upstream に続いて行われます。こうしたヘッダーを Caddy 経由で渡すデプロイメント (例えば、アンダースコアを含む X_Api_Key または gRPC カスタムメタデータキー) は、ハイフンでつながれたスペリングに切り替える必要があります。

    安定版ディストリビューション (trixie) では、これらの問題はバージョン 2.6.2-12+deb13u1 で修正されています。

    caddy パッケージをアップグレードすることを推奨します。

    caddy の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/caddy

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-950cac64f2 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    caddy 本体およびベンダーライブラリにわたる 17 件の CVE を解決するセキュリティアップデート。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-3dc324bd9a のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    caddy 本体およびベンダーライブラリにわたる 22 件の CVE を解決するセキュリティアップデート。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Caddy は、デフォルトで TLS を使用する拡張可能なサーバープラットフォームです。バージョン 2.11.1以前は、CaddyのHTTP「パス」リクエストマッチャは大文字を区別しないように設計されていますが、マッチパターンにパーセントエスケープシーケンス('%xx')が含まれている場合、ローカーシングなしでリクエストのエスケープパスと比較されます。攻撃者はリクエストパスのケーシングを変更することで、パスベースのルーティングおよびそのルートに付随するアクセス制御を回避できます。バージョン 2.11.1 にはこの問題の修正が含まれています。(CVE-2026-27587)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
334443	Debian dsa-6429 : caddy - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/11	2026/10/28	critical
324621	Fedora 44 : caddy (2026-950cac64f2)	Nessus	Fedora Local Security Checks	2026/7/1	2026/7/1	critical
324614	Fedora 43 : caddy (2026-3dc324bd9a)	Nessus	Fedora Local Security Checks	2026/7/1	2026/7/1	critical
300054	Linux Distros のパッチ未適用の脆弱性: CVE-2026-27587	Nessus	Misc.	2026/2/27	2026/10/24	high

検出

プラグインの検索

critical

critical

critical

high