Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ### 説明 'Symfony\Component\Mime\Address' は、すべての Symfony Mailer アドレス (to/cc/bcc/from/reply-to) が通過する値オブジェクトです。コンストラクターは、アドレスを検証し、無効な入力をスローするものとして文書化されているため、開発者はこれをセキュリティ境界として扱います。コンストラクターは、ローカル部分(「@」より前の部分)が、生の「x\r\nBcc:attacker@evil@example.com」などの生の「\r\n」バイトを含む RFC-5322 *引用符付き文字列* であるメールアドレスを受け入れます。保存されたアドレスは、後に (1) レンダリングされたメッセージヘッダーおよび (2) 「SmtpTransport」の「MAIL FROM:<...>」/「RCPT TO:<...>」プロトコル行に逐語的に出力され、埋め込まれた CRLF を新しいメールヘッダーおよび/または新しい SMTP コマンドに変換します。 ### 解決策 「Address」コンストラクターは、改行を含むアドレスを拒否するようになりました。この問題のパッチは、ブランチ 5.4 で [こちら](https://github.com/symfony/symfony/commit/dc2dbd29211eb4ddc451373fa1374fb926e94604)で入手できます。
    ### 情報 弊社は、この問題を報告し、修正を提供してくれた Claude Mythos Preview(Project Glasswing 経由)に感謝の意を表します。(CVE-2026-45067)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 13ホストには、dsa-6312アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6312-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:symfony CVE ID: CVE-2024-50340 CVE-2026-45063 CVE-2026-45064 CVE-2026-45065 CVE-2026-45066 CVE-2026-45067 CVE-2026-45068 CVE-2026-45069 CVE-2026-45071 CVE-2026-45072 CVE-2026-45073 CVE-2026-45077 CVE-2026-45133 CVE-2026-45304 CVE-2026-45305 CVE-2026-45754 CVE-2026-46626 CVE-2026-48489 CVE-2026-48736 CVE-2026-48760 CVE-2026-48761 CVE-2026-48784

    Symfony PHPフレームワークに複数の脆弱性が見つかりました。これらの脆弱性により、セキュリティコントロールのバイパス、クロスサイトスクリプティング、サービス拒否、SQLインジェクション、電子メールヘッダーインジェクション、情報漏えい、またはPHPオブジェクトの逆シリアル化によるコード実行が引き起こされる可能性があります。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 6.4.41+dfsg-0+deb13u1 で修正されています。

    お使いの symfony パッケージをアップグレードすることを推奨します。

    symfony の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: 
    https://security-tracker.debian.org/tracker/symfony

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、よくある質問については、https://www.debian.org/security/ を参照してください。

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Symfony および/またはその Symfony Monolog Bridge / MIME / Mailer / Routing / Security HTTP コンポーネントのバージョンは、6.4.40 より前の 6.1.x、7.4.12 より前の 7.0.x、8.0.12 より前の 8.0.xより前であるため、複数の脆弱性の影響を受けます。

  - サブジェクト DN 文字列から emailAddress を抽出するために非アンカー正規表現を使用するため、Symfony コンポーネントの X509Authenticator クライアント証明書 (mTLS) 認証に認証バイパスの脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用して、CN (共通名) フィールドに埋め込まれた emailAddress 文字列を含む細工されたクライアント証明書を通じて、認証をバイパスし、任意のユーザーになりすます可能性があります。(CVE-2026-45063)

  - デフォルトですべてのネットワークインターフェース (0.0.0.0:9911) にバインドされており、allowed_classes、許可リスト、または整合性チェックなしで認証されていない PHP オブジェクトの逆シリアル化を実行しているため、Symfony Monolog Bridge コンポーネントの ServerLogCommand (server:log コンソールコマンド) に、安全でない逆シリアル化の脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用し、TCP ポート 9911 に送信される細工されたシリアル化 PHP ペイロードを介して、サービス拒否を引き起こしたり、ターゲット環境での使用可能なガジェットチェーンに応じて、magic-method の副作用がある PHP オブジェクトインジェクションを介してリモートでコードを実行する可能性があります。
    (CVE-2026-45077)

  - 入力検証として文書化されているにもかかわらず、生の \r\n バイトを含む引用されるローカル部分を含むメールアドレスをコンストラクターが受け入れることにより、Symfony MIME コンポーネントの Address クラスに CRLF インジェクションの脆弱性が存在します。認証されたリモートの攻撃者がこれを悪用し、ローカル部分 (例: 'x\r\nBcc: attacker@evil'@example.com) に CRLF シーケンスが埋め込まれた細工されたメールアドレスを介して、任意のメールヘッダーと SMTP コマンドを挿入し、メールの不正な漏洩、スパムリレー、その他のメールシステムの悪用を可能にする可能性があります。(CVE-2026-45067)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。また、このプラグインは、OS パッケージマネージャー経由でインストールされた PHP パッケージ、コンポーザー経由でインストールされた PHP パッケージ、その他のソースを区別しないことに注意してください。結果として、OS パッケージリポジトリが提供するパッケージには、このプラグインが誤って脆弱と報告する修正がバックポートされている可能性があります。バックポートされた修正を確認するには、CVE-2026-45063、CVE-2026-45065、CVE-2026-45067、CVE-2026-45068、CVE-2026-45077 の OS 固有のプラグインを参照してください。

リモートのDebian 12ホストには、dsa-6317アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6317-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 6 月 1 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:symfony CVE ID: CVE-2024-50340 CVE-2026-45063 CVE-2026-45065 CVE-2026-45067 CVE-2026-45068 CVE-2026-45071 CVE-2026-45073 CVE-2026-45077 CVE-2026-45133 CVE-2026-45304 CVE-2026-45305 CVE-2026-46626 CVE-2026-48489 CVE-2026-48736 CVE-2026-48784

    Symfony PHPフレームワークに複数の脆弱性が見つかりました。これらの脆弱性により、セキュリティコントロールのバイパス、クロスサイトスクリプティング、サービス拒否、SQLインジェクション、電子メールヘッダーインジェクション、情報漏えい、またはPHPオブジェクトの逆シリアル化によるコード実行が引き起こされる可能性があります。

    旧安定版(oldstable)ディストリビューション(bookworm)では、これらの問題はバージョン 5.4.53+dfsg-0+deb12u1 で修正されています。

    お使いの symfony パッケージをアップグレードすることを推奨します。

    symfony の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: 
    https://security-tracker.debian.org/tracker/symfony

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、よくある質問については、https://www.debian.org/security/ を参照してください。

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
316025	Linux Distros のパッチ未適用の脆弱性: CVE-2026-45067	Nessus	Misc.	2026/5/21	2026/9/2	medium
318121	Debian dsa-6312:php-symfony - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/1	2026/9/18	critical
318791	Symfony および複数の Symfony コンポーネント < 5.4.52 / 6.x < 6.4.40 / 7.x < 7.4.12 / 8.x < 8.0.12 の複数の脆弱性	Nessus	Misc.	2026/6/5	2026/9/22	critical
318254	Debian DSA-6317:php-symfony - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/2	2026/9/18	critical

検出

プラグインの検索

medium

critical

critical

critical