リモートの SUSE Linux SLES12 ホストには、SUSE-SU-2026:1648-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 2.52.1 に更新してください。

    セキュリティの問題を修正:

    - CVE-2026-20643: 悪意を持って細工されたウェブコンテンツを処理すると、同一生成元ポリシーがバイパスされる可能性があります (bsc#1261172)。
    - CVE-2026-20664: 悪意を持って細工されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があります (bsc#1261173)。
    - CVE-2026-20665: 悪意を持って細工されたウェブコンテンツを処理することで、コンテンツセキュリティポリシー (CSP) の実施が妨げられる可能性があります (bsc#1261174)。
    - CVE-2026-20691: 悪意を持って細工された Web ページにより、ユーザーの指紋が取得される可能性があります (bsc#1261175)。
    - CVE-2026-28857: 悪意を持って細工されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があります (bsc#1261176)。
    - CVE-2026-28859: 悪意のあるウェブサイトがサンドボックス外で制限されたウェブコンテンツを処理できる可能性があります (bsc#1261177)。
    - CVE-2026-28861: 悪意のあるウェブサイトが他の生成元用のスクリプトメッセージハンドラーにアクセスできる可能性があります (bsc#1261178)。
    - CVE-2026-28871: 悪意を持って細工されたウェブサイトにアクセスして、クロスサイトスクリプティング攻撃を引き起こす可能性があります (bsc#1261179)。

    その他の更新およびバグ修正:

    - 再生中のメディアに関する情報が不完全な場合に、MediaSession によって生成される不要な MPRIS 通知の量を減らします。
    - USE_GSTREAMER をオフにして、すべてのマルチメディア機能を無効にした状態でビルドを構成できるようにしました。
    - マウスイベント用の Sysprof マークを追加します。
    - iheart.com の MediaSession アイコンが表示されない問題を修正します。
    - USE_GSTREAMER_GL を無効にした状態でビルドできるように修正します。
    - librice バージョン 0.3.0 以降でビルドできるように修正します。
    - 複数のクラッシュおよびレンダリングの問題を修正。
    - 翻訳の更新: ジョージア語。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

モバイルデバイスで実行中の Apple iOS のバージョンは、18.7.7 より前です。したがって、複数の脆弱性の影響を受けます。

モバイルデバイスで実行中の Apple iOS のバージョンは、26.4 より前です。したがって、複数の脆弱性の影響を受けます。

リモートの Ubuntu 24.04 LTS / 25.10 / 26.04 LTS ホストには、USN-8237-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    WebKitGTK Web および JavaScript エンジンにいくつかのセキュリティの問題が検出されました。ユーザーが誘導されて悪質なウェブサイトを閲覧すると、リモートの攻撃者がウェブブラウザのセキュリティに関連するさまざまな問題を悪用して、クロスサイトスクリプティング攻撃やサービス拒否攻撃を仕掛けたり、任意のコードを実行したりする可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 状態管理を改善することで、ロジックの問題に対処しました。この問題は、Safari 26.4、iOS 18.7.7 、iPadOS 18.7.7、iOS 26.4 、iPadOS 26.4、macOS Tahoe 26.4、visionOS 26.4で修正されています。悪意のある Web サイトが、他の生成元用のスクリプトメッセージハンドラーにアクセスできる可能性があります。CVE-2026-28861

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Debian 13 ホストには、dsa-6232 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6232-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2026 年 4 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ: webkit2gtk CVE ID: CVE-2025-46299 CVE-2026-20643 CVE-2026-20664 CVE-2026-20665 CVE-2026-20691 CVE-2026-28857 CVE-2026-28859 CVE-2026-28861 CVE-2026-28871

    WebKitGTK ウェブエンジンに次の脆弱性が発見されました。

    CVE-2025-46299

        Google Big Sleep 氏は、悪意を持って細工されたウェブコンテンツを処理すると、アプリの内部状態が漏洩する可能性があることを発見しました。

    CVE-2026-20643

        Thomas Espach 氏は、悪意を持って細工されたウェブコンテンツを処理すると、同一生成元ポリシーがバイパスされる可能性があることを発見しました。

    CVE-2026-20664

        Daniel Rhea 氏、Soehnke Benedikt Fischedick 氏、Emrovsky & Switch 氏、Yevhen Pervushyn 氏は、悪意をもって細工されたウェブコンテンツを処理することで、予期しないプロセスクラッシュが発生する可能性があることを発見しました。

    CVE-2026-20665

        webb 氏は、悪意を持って細工されたウェブコンテンツを処理することで、コンテンツセキュリティポリシー (CSP) の実施が妨げられる可能性があることを発見しました。

    CVE-2026-20691

        Gongyu Ma 氏は、悪意を持って細工されたウェブページにより、ユーザーの指紋が取得される可能性があることを発見しました。

    CVE-2026-28857

        Narcis Oliveras Fontas 氏、Soehnke Benedikt Fischedick 氏、Daniel Rhea 氏、Nathaniel Oh 氏は、悪意をもって細工されたウェブコンテンツを処理することで、予期しないプロセスクラッシュが発生する可能性があることを発見しました。

    CVE-2026-28859

        greenbynox 氏、Arni Hardarson 氏は、悪意のあるウェブサイトがサンドボックス外で制限されたウェブコンテンツを処理できる可能性があることを発見しました。

    CVE-2026-28861

        Hongze Wu 氏、Shuaike Dong 氏は、悪意のあるウェブサイトが他の生成元用のスクリプトメッセージハンドラーにアクセスできる可能性があることを発見しました。

    CVE-2026-28871

        @hamyanamayan 氏は、悪意をもって細工されたウェブサイトにアクセスすると、クロスサイトスクリプティング攻撃につながる可能性があることを発見しました。

    バージョン 2.52.0 以降、WebKitGTK は旧安定版ディストリビューション (bookworm) にバックポートできなくなりました。そのため、webkit2gtk パッケージは bookworm のセキュリティサポートの対象にはなりません。

    安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 2.52.1-1~deb13u1 で修正されています。

    お使いの webkit2gtk パッケージをアップグレードすることをお勧めします。

    webkit2gtk の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/webkit2gtk

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Oracle Java SE の 8u503、8u503-perf 11.0.32.1、17.0.20.1、21.0.12.1、25.0.4.1、26.0.2 および 27 リリースは、2026 年 10 月の CPU アドバイザリで参照されている複数の脆弱性の影響を受けます。

  - Oracle Java SE の Oracle Java SE、Oracle JavaFX 製品の脆弱性 (コンポーネント: JavaFX (WebKitGTK))。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 8u503、Oracle JavaFX: 21.0.12、25.0.4、27 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Java SE、Oracle JavaFX を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性への攻撃が成功した場合、Oracle Java SE、Oracle JavaFX の乗っ取りが発生する可能性があります。(CVE-2026-43660)

  - Oracle Java SE (コンポーネント: Java プラグイン) の脆弱性。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 8u503 and 8u503-perf です。悪用が困難な脆弱性により、Oracle Java SE が実行されるインフラストラクチャにログオンできる低権限の攻撃者が、Oracle Java SE を侵害できます。この脆弱性が Oracle Java SE に存在する間は、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。(CVE-2026-91484)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 2D)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u503, 8u503-perf、11.0.32.1、17.0.20.1、21.0.12.1、25.0.4.1、27、Oracle GraalVM for JDK: 17.0.20.1、21.0.12.1、Oracle GraalVM Enterprise Edition: 21.3.19.1.1 です。この脆弱性への攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition に対して、ハングまたは頻繁に再現可能なクラッシュ (完全な DOS) を引き起こす不正な能力が得られるほか、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセス可能な一部のデータに対する不正な更新、挿入、または削除のアクセス、およびそのデータの一部に対する不正な読み取りアクセスが可能になる場合があります。(CVE-2026-91415)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:1364-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 2.52.0 に更新してください。

    セキュリティの問題を修正:

    - CVE-2023-43010悪意のある細工をした Web コンテンツを処理すると、メモリ破損を引き起こす可能性がありますbsc#1259950。
    - CVE-2025-31223悪意のある細工をした Web コンテンツを処理すると、メモリ破損を引き起こす可能性がありますbsc#1259949。
    - CVE-2025-31277悪意のある細工をした Web コンテンツを処理すると、メモリ破損を引き起こす可能性がありますbsc#1259948。
    - CVE-2025-43213悪意のある細工をした Web コンテンツを処理すると、予期しないクラッシュが発生する可能性がありますbsc#1259947。
    - CVE-2025-43214悪意のある細工をした Web コンテンツを処理すると、予期しないクラッシュが発生する可能性がありますbsc#1259946。
    - CVE-2025-43433悪意のある細工をした Web コンテンツを処理すると、メモリ破損を引き起こす可能性がありますbsc#1259945。
    - CVE-2025-43438悪意のある細工をした Web コンテンツを処理すると、予期しないクラッシュが発生する可能性がありますbsc#1259944。
    - CVE-2025-43441悪意のある細工をした Web コンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性がありますbsc#1259943。
    - CVE-2025-43457悪意のある細工をした Web コンテンツを処理すると、予期しないクラッシュが発生する可能性がありますbsc#1259942。
    - CVE-2025-43511悪意のある細工をした Web コンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性がありますbsc#1259941。
    - CVE-2025-46299悪意ある細工をした Web コンテンツを処理することで、アプリの内部状態が漏洩する可能性がありますbsc#1259940。
    - CVE-2026-20608悪意のある細工をした Web コンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性がありますbsc#1259939。
    - CVE-2026-20635悪意のある細工をした Web コンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性がありますbsc#1259938。
    - CVE-2026-20636悪意のある細工をした Web コンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性がありますbsc#1259937。
    - CVE-2026-20643悪意のある Web コンテンツを処理することで、同一生成元ポリシーがバイパスされる可能性がありますbsc#1261172。
    - CVE-2026-20644悪意のある細工をした Web コンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性がありますbsc#1259936。
    - CVE-2026-20652リモートの攻撃者が、サービス拒否を引き起こす可能性がありますbsc#1259935。
    - CVE-2026-20664悪意のある細工をした Web コンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性がありますbsc#1261173。
    - CVE-2026-20665悪意のある Web コンテンツを処理することにより、コンテンツセキュリティポリシーが実行されなくなる可能性がありますbsc#1261174。
    - CVE-2026-20676Web サイトが Web 拡張を通じてユーザーを追跡できる可能性がありますbsc#1259934。
    - CVE-2026-20691悪意をもって細工された Web ページにより、ユーザーのフィンガープリントが取得される可能性がありますbsc#1261175。
    - CVE-2026-28857悪意のある細工をした Web コンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性がありますbsc#1261176。
    - CVE-2026-28859悪意のある Web サイトが制限された Web コンテンツをサンドボックス外で処理できる可能性がありますbsc#1261177
    - CVE-2026-28861悪意のある Web サイトが、他の生成元用のスクリプトメッセージハンドラーにアクセスできる可能性がありますbsc#1261178。
    - CVE-2026-28871悪意をもって細工された Web サイトにアクセスすると、クロスサイトスクリプティング攻撃につながる可能性がありますbsc#1261179。

    その他の更新およびバグ修正:

    - 小さな動作で、タッチ入力によるスクロールをよりスムーズにします。
    - Content-Length 値が間違っている場合、ダウンロードのロード進捗の推測を修正します。
    - スクロールアニメーション後に「scrollend」イベントが正しく発生するようにします。
    - 再生中のメディアに関する情報が不完全な場合に、MediaSession によって作成される不要な MPRIS 通知の量を減らします。
    - すべてのマルチメディア機能を無効にしてビルドを構成するために、USE_GSTREAMER をオフにするのをサポートします。
    - マウスイベントの Sysprof マークを追加します。
    - iheart.com の MediaSession アイコンが表示されていないのを修正します。
    - USE_GSTREAMER_GL を無効にして ビルドを修正します。
    - librice バージョン 0.3.0 以降でビルドを修正します。
    - 複数のクラッシュおよびレンダリングの問題を修正。
    - 翻訳の更新ジョージア語。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている webkitgtk4 のバージョンは、2.52.1-1 より前です。したがって、ALAS2-2026-3270 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    メモリ初期化の問題が、メモリ処理を改善することで対処されました。この問題は、tvOS 26.2、Safari 26.2、watchOS 26.2、visionOS 26.2、iOS 26.2 および iPadOS 26.2、macOS Tahoe 26.2 で修正されています。悪意を持って細工されたウェブコンテンツを処理すると、アプリの内部状態が漏洩する可能性があります。(CVE-2025-46299)

    Navigation API のクロスオリジンの問題が、改善された入力検証で対処されました。 この問題は iOS、iPadOS、macOSSafari 用 Background Security Improvements、Safari 26.4、iOS 18.7.7 および iPadOS 18.7.7、iOS 26.4 および iPadOS 26.4、macOS Tahoe 26.4、visionOS 26.4 で修正されました。悪意を持って細工されたウェブコンテンツを処理すると、同一生成元ポリシーがバイパスされる可能性があります。(CVE-2026-20643)

    メモリ処理を改善することで、この問題に対処しました。この問題は Safari 26.4、iOS 26.4 および iPadOS 26.4、macOS Tahoe 26.4、visionOS 26.4 で修正されました。悪意を持って細工されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があります。(CVE-2026-20664)

    状態管理を改善することで、この問題に対処しました。この問題は Safari 26.4、iOS 18.7.7 および iPadOS 18.7.7、iOS 26.4 および iPadOS 26.4、macOS Tahoe 26.4、tvOS 26.4、visionOS 26.4、watchOS 26.4 で修正されました。
    悪意を持って細工された Web コンテンツを処理することで、コンテンツセキュリティポリシー (CSP) の実施が妨げられる可能性があります。
    (CVE-2026-20665)

    状態管理を改善することで、認証の問題に対処しました。この問題は Safari 26.4、iOS 26.4 および iPadOS 26.4、macOS Tahoe 26.4、visionOS 26.4、watchOS 26.4 で修正されました。悪意を持って細工された Web ページにより、ユーザーの指紋が取得される可能性があります。(CVE-2026-20691)

    メモリ処理を改善することで、この問題に対処しました。この問題は Safari 26.4、iOS 26.4 および iPadOS 26.4、macOS Tahoe 26.4、visionOS 26.4 で修正されました。悪意を持って細工されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があります。(CVE-2026-28857)

    メモリ処理を改善することで、この問題に対処しました。この問題は Safari 26.4、iOS 26.4 および iPadOS 26.4、macOS Tahoe 26.4、tvOS 26.4、visionOS 26.4、watchOS 26.4 で修正されました。悪意のあるウェブサイトがサンドボックス外で制限されたウェブコンテンツを処理できる可能性があります。(CVE-2026-28859)

    状態管理を改善することで、ロジックの問題に対処しました。この問題は Safari 26.4、iOS 18.7.7 および iPadOS 18.7.7、iOS 26.4 および iPadOS 26.4、macOS Tahoe 26.4、visionOS 26.4 で修正されました。悪意のあるウェブサイトが他の生成元用のスクリプトメッセージハンドラーにアクセスできる可能性があります。(CVE-2026-28861)

    チェックを改善することで、ロジックの問題に対処しました。この問題は Safari 26.4、iOS 18.7.7 および iPadOS 18.7.7、iOS 26.4 および iPadOS 26.4、macOS Tahoe 26.4 で修正されました。悪意を持って細工されたウェブサイトにアクセスして、クロスサイトスクリプティング攻撃を引き起こす可能性があります。(CVE-2026-28871)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストは、バージョン 26.4 より前の macOS/Mac OS X 26.x を実行しています。そのため、以下の複数の脆弱性の影響を受けます。

  - チェックを改善することで、ロジックの問題に対処しました。この問題は、macOS Tahoe 26.4 で修正されています。ユーザーが権限を昇格できる可能性があります。(CVE-2026-20631)

  - OAuth2 ベアラートークンが、IMAP、LDAP、POP3 または SMTP スキームを使用する 2 番目の URL へのクロスプロトコルリダイレクトを実行する HTTP(S) 転送に使用されるとき、curl が新しいターゲットホストに間違ってベアラートークンを渡す可能性があります。(CVE-2025-14524)

  - ACME 証明書の更新に失敗した場合の整数オーバーフローにより、一定回数失敗した後 (デフォルトの構成で約 30 日後)、バックオフタイマーが 0 になります。その後、証明書の更新は、成功するまで遅滞なく繰り返されます。この問題は、2.4.30 から 2.4.66 の Apache HTTP Server に影響します。ユーザーには、この問題を修正したバージョンであるバージョン 2.4.66 へのアップグレードをお勧めします。(CVE-2025-55753)

  - Apache HTTP Server 2.4.65 以前で、Server Side IncludesSSI が有効化された場合、mod_cgid (mod_cgi ではない) は、シェルエスケープされたクエリ文字列を #exec cmd=... ディレクティブに渡します。この問題は、2.4.66 より前の Apache HTTP Server に影響します。ユーザーには、この問題を修正したバージョンであるバージョン 2.4.66 へのアップグレードをお勧めします。
    (CVE-2025-58098)

  - AllowEncodedSlashes が On および MergeSlashes が Off になっている Windows 上の Apache HTTP Server のサーバーサイドリクエストフォージェリ (SSRF) により、NTLM ハッシュが SSRF および悪質なリクエストまたはコンテンツを介して、悪質なサーバーに漏洩する可能性があります。ユーザーには、この問題を修正するバージョン 2.4.66 へのアップグレードをお勧めします。
    (CVE-2025-59775)

Nessus はこれらの問題をテストしておらず、代わりにオペレーティングシステムが自己報告するバージョン番号にのみ頼っています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
311756	SUSE SLES12 セキュリティ更新 : webkit2gtk3 (SUSE-SU-2026:1648-1)	Nessus	SuSE Local Security Checks	2026/5/2	2026/5/2	medium
303480	Apple iOS < 18.7.7 複数の脆弱性126793	Nessus	Mobile Devices	2026/3/24	2026/10/29	high
303482	Apple iOS < 26.4 複数の脆弱性126792	Nessus	Mobile Devices	2026/3/24	2026/10/29	high
313208	Ubuntu 24.04 LTS / 25.10 / 26.04 LTS : WebKitGTK の脆弱性 (USN-8237-1)	Nessus	Ubuntu Local Security Checks	2026/5/8	2026/5/8	medium
304095	Linux Distros のパッチ未適用の脆弱性: CVE-2026-28861	Nessus	Misc.	2026/3/28	2026/9/2	medium
310721	Debian dsa-6232 : gir1.2-javascriptcoregtk-4.1 - セキュリティ更新	Nessus	Debian Local Security Checks	2026/4/28	2026/4/28	medium
372932	Oracle Java SE の複数の脆弱性 (2026 年 10 月 CPU)	Nessus	Misc.	2026/10/28	2026/10/29	medium
306700	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : webkit2gtk3 (SUSE-SU-2026:1364-1)	Nessus	SuSE Local Security Checks	2026/4/16	2026/4/16	medium
311208	Amazon Linux 2 : webkitgtk4、--advisory ALAS2-2026-3270 (ALAS-2026-3270)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	medium
303481	macOS 26.x < 26.4 の複数の脆弱性 (126794)	Nessus	MacOS X Local Security Checks	2026/3/24	2026/8/21	high

検出

プラグインの検索

medium

high

high

medium

medium

medium

medium

medium

medium

high