リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4283-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-45793:正規表現検証に失敗した GitHub OAuth トークンは、認証情報漏洩を引き起こす可能性があります(bsc#1271504)。
    - CVE-2026-59944:パストラバーサルおよびリンクフォローの問題により、ファイルが誰でも読み込み可能かつ実行可能になる可能性があります(bsc#1279898)。
    - CVE-2026-59946:パスセグメントのあるパッケージ bin エントリにより、意図しないホストファイル権限の変更が引き起こされる可能性があります(bsc#1271152)。
    - CVE-2026-59947:Composer 内のデバッグ出力でサニタイズされていない URL 認証情報を処理することにより、機密トークンが漏洩する可能性があります(bsc#1271130)。
    - CVE-2026-59948:Composer での依存関係の解決中にパッケージ名が検証されないと、パストラバーサル(bsc#1271123)が発生する可能性があります。
    - CVE-2026-84361:悪意のある Perforce ソース URL による任意のコードの実行(bsc#1278257)。

    php-composer2 の変更:

    - 2.2.30 へのバージョン更新:

     * 悪意のある Perforce URL を通じたコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
     * さらにいくつかの場所で URL 埋め込まれたユーザー名/トークンをサニタイズします(#13045)
     * gitlab URLの一致を修正して、誤ったドメインへの資格情報漏えいの可能性を回避しました(#13042)

    - 最終変更予定の s390x での回帰を修正します(bsc#1271729)。

    - 2.2.29 へのバージョン更新:

     * パッケージ名を検証(GHSA-499r-g7pc-vmp9)
     * パストラバーサルに対してパッケージ bin パスを検証します(GHSA-gjfg-22fp-rrxx)
     * 冗長出力の URL 埋め込みユーザー名/トークンをサニタイズ(GHSA-g6xq-892h-64w3)
     * HTTP応答からのHTTPリダイレクトのみをフォローします(#12948)
     * 安全でない PHP バージョンでの phar メタデータのシリアル化解除を回避します(#12946)
     * HTTP 応答の JSON 解析エラーをサニタイズして、応答本文データの漏洩を回避します(#12959)
     * GitHub トークン検証を修正し、さらに緩和するようにしました(#12856)

    - 2.2.28 へのバージョン更新。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4059-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    php-composer2 用のこの更新は、次の問題を修正します:

    - CVE-2026-84361:悪意のある Perforce ソース URL による任意のコードの実行(bsc#1278257)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21778-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    php-composer2 用のこの更新は、次の問題を修正します:

    - CVE-2026-84361:悪意のある Perforce ソース URL による任意のコードの実行(bsc#1278257)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-249d41312c のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.10.3 - 2026 年 8 月 27 日

      * **セキュリティ**:シンボリックリンクを使用するパストラバーサルに対してパッケージ bin パスを検証します(GHSA-96h3-5x6v-m776、 CVE-2026-59944)
      * **セキュリティ**:悪意のある Perforce URL を介したコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
      * **セキュリティ**:URL に埋め込まれたユーザー名/トークンをさらにいくつかの場所でサニタイズします(#13044)
      * **セキュリティ**:間違ったドメインへの資格情報の漏えいの可能性を回避するためにgitlab URLの一致を修正しました(#12988)
      * PHP 8.6 廃止予定警告を修正しました(#12967、 #13028)
      * ポリシーがパッケージバージョンをブロックする際のエラー出力を修正し、より明確にします(#12993)
      * 実行時に破壊されてしまう競合マーカー付きのロックファイルの content-hash を修正しました(#13048)
      * 複数の Composer プロセスを並行して実行する際のキャッシュディレクトリなどのディレクトリの作成中に発生する可能性がある競合状態を修正しました(#12977)
      * 空のリポジトリをより適切に処理するために forgejo サポートを修正しました(#12968)
      * FilterListApiClient が転送オプションを転送しない問題を修正しました(#13040)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-3136 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    パッケージ bin パスがパッケージディレクトリをエスケープし、GHSA-gjfg-22fp-rrxx 修正をバイパスする可能性があります。悪意のある、または危険にさらされているComposerパッケージは、依存関係としてインストールされた場合、Composerにそのパッケージ自身のディレクトリ外のファイルのアクセス許可を変更させ、その外部ファイルを指し示す実行可能なvendor/binコマンドを登録させる可能性があります。これは、パストラバーサルおよびリンクフォローの問題です。これはリモートコード実行ではなく、攻撃者はデータを直接読み取ったり受信したりする能力を得ることができません。そのリスクは、所有者だけが読み取れるが、Composer によって変更可能だったファイルが、誰でも読み取れ、実行可能になり、共有またはマルチテナントホストでそのコンテンツを露出する可能性があることです。GHSA-gjfg-22fp-rrxx からの以前の強化は、リテラル .. を拒否するだけであるため、バイパスできます。パッケージの宣言されたバイナリのパスセグメントであり、依存関係の解決中に単一の場所でのみ適用されていました。(CVE-2026-59944)

    Composer は、PHP 言語の依存関係マネージャーです。1.0から2.2.302.10.3まで、カスタムComposerリポジトリからの悪意のある依存関係パッケージまたは信頼できないcomposer.lockファイルが、source.typeをperforceに、source.urlをrsh:またはjsh: P4PORT値に設定する可能性があります。Perforce p4 クライアントがインストールされ、Composer が composer インストールまたは composer 更新 ( --prefer-source も含む) を通じてソースからパッケージをインストールすると、Composer\Util\Perforce が検証せずにアドレスを p4 に渡したため、p4 はユーザーまたは CI アカウントの権限でローカルコマンドを実行しました。Packagist.org では、Perforce ソースメタデータは許可されません。この問題はバージョン 2.2.30および 2.10.3で修正されています。(CVE-2026-84361)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Composer は、PHP 言語の依存関係マネージャーです。1.0から2.2.302.10.3まで、カスタムComposerリポジトリからの悪意のある依存関係パッケージまたは信頼できないcomposer.lockファイルが、source.typeをperforceに、source.urlをrsh:またはjsh: P4PORT値に設定する可能性があります。Perforce p4 クライアントがインストールされ、Composer が composer インストールまたは composer 更新 ( --prefer-source も含む) を通じてソースからパッケージをインストールすると、Composer\Util\Perforce が検証せずにアドレスを p4 に渡したため、p4 はユーザーまたは CI アカウントの権限でローカルコマンドを実行しました。Packagist.org では、Perforce ソースメタデータは許可されません。この問題はバージョン 2.2.30および 2.10.3で修正されています。(CVE-2026-84361)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-0425df0537 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.10.3 - 2026 年 8 月 27 日

      * **セキュリティ**:シンボリックリンクを使用するパストラバーサルに対してパッケージ bin パスを検証します(GHSA-96h3-5x6v-m776、 CVE-2026-59944)
      * **セキュリティ**:悪意のある Perforce URL を介したコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
      * **セキュリティ**:URL に埋め込まれたユーザー名/トークンをさらにいくつかの場所でサニタイズします(#13044)
      * **セキュリティ**:間違ったドメインへの資格情報の漏えいの可能性を回避するためにgitlab URLの一致を修正しました(#12988)
      * PHP 8.6 廃止予定警告を修正しました(#12967、 #13028)
      * ポリシーがパッケージバージョンをブロックする際のエラー出力を修正し、より明確にします(#12993)
      * 実行時に破壊されてしまう競合マーカー付きのロックファイルの content-hash を修正しました(#13048)
      * 複数の Composer プロセスを並行して実行する際のキャッシュディレクトリなどのディレクトリの作成中に発生する可能性がある競合状態を修正しました(#12977)
      * 空のリポジトリをより適切に処理するために forgejo サポートを修正しました(#12968)
      * FilterListApiClient が転送オプションを転送しない問題を修正しました(#13040)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-5995821369 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.10.3 - 2026 年 8 月 27 日

      * **セキュリティ**:シンボリックリンクを使用するパストラバーサルに対してパッケージ bin パスを検証します(GHSA-96h3-5x6v-m776、 CVE-2026-59944)
      * **セキュリティ**:悪意のある Perforce URL を介したコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
      * **セキュリティ**:URL に埋め込まれたユーザー名/トークンをさらにいくつかの場所でサニタイズします(#13044)
      * **セキュリティ**:間違ったドメインへの資格情報の漏えいの可能性を回避するためにgitlab URLの一致を修正しました(#12988)
      * PHP 8.6 廃止予定警告を修正しました(#12967、 #13028)
      * ポリシーがパッケージバージョンをブロックする際のエラー出力を修正し、より明確にします(#12993)
      * 実行時に破壊されてしまう競合マーカー付きのロックファイルの content-hash を修正しました(#13048)
      * 複数の Composer プロセスを並行して実行する際のキャッシュディレクトリなどのディレクトリの作成中に発生する可能性がある競合状態を修正しました(#12977)
      * 空のリポジトリをより適切に処理するために forgejo サポートを修正しました(#12968)
      * FilterListApiClient が転送オプションを転送しない問題を修正しました(#13040)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
349186	SUSE SLES15 セキュリティ更新:php-composer2(SUSE-SU-2026:4283-1)	Nessus	SuSE Local Security Checks	2026/9/23	2026/9/24	high
348471	SUSE SLES15 セキュリティ更新:php-composer2(SUSE-SU-2026:4059-1)	Nessus	SuSE Local Security Checks	2026/9/21	2026/9/24	high
343956	openSUSE 16 セキュリティ更新:php-composer2(openSUSE-SU-2026:21778-1)	Nessus	SuSE Local Security Checks	2026/9/9	2026/9/24	high
344878	Fedora 45:composer(2026-249d41312c)	Nessus	Fedora Local Security Checks	2026/9/11	2026/9/24	high
351112	Amazon Linux 2023 : composer (ALAS2023-2026-3136)	Nessus	Amazon Linux Local Security Checks	2026/9/29	2026/9/29	high
342504	Linux Distros のパッチ未適用の脆弱性: CVE-2026-84361	Nessus	Misc.	2026/9/3	2026/10/30	high
342928	Fedora 43:composer(2026-0425df0537)	Nessus	Fedora Local Security Checks	2026/9/4	2026/9/24	high
343055	Fedora 44:composer(2026-5995821369)	Nessus	Fedora Local Security Checks	2026/9/5	2026/9/24	high

検出

プラグインの検索

high

high

high

high

high

high

high

high