Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - USB：typec：qcom-pmic：停止時取消reset_work pdphy_stop（） 會停用 IRQ，但保留reset_work待處理狀態。
    如果 IRQ 處理常式在 disable_irq（） 之前排程它，則工作會在 remove（） 透過 devm 釋放結構後執行。停用 IRQ 後呼叫 cancel_work_sync（） 以關閉視窗。此問題是由內部靜態分析工具發現的。（CVE-2026-90026）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - powerpc/kexec_file：修正額外大小計算中的 null-ptr-def 靜態 Sashiko AI 審查發現 kexec_extra_fdt_size_ppc64（） 中潛在的 NULL 指標解除參照。在沒有任何保留記憶體區域的平台上，get_reserved_memory_ranges（） 可以傳回 0，同時將未分配的 'rmem' 保留為 NULL。
    傳遞它直接會導致在評估 'rmem->nr_ranges' 時出現核心錯誤。新增 'rmem' 的 NULL 檢查以防止此損毀。（CVE-2026-89963）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - iio：light：ltrf216a：修正錯誤路徑中的執行階段 PM 參照洩漏 ltrf216a_get_lux（） 透過呼叫 ltrf216a_set_power_state（data， true） 來取得執行階段 PM 參照。但是，如果 ltrf216a_read_data（） 失敗，則函數會立即返回，而不會刪除引用。這會使執行階段 PM 使用計數不平衡，防止裝置在讀取失敗後自動暫停。在從錯誤路徑傳回之前釋放執行階段 PM 參照，以修正此問題。（CVE-2026-89934）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - KVM：SEV：如果 SNP VMSA 的支援 gmem 頁面被 zapped，則強制使其失效 連接 SNP VM 的 gmem_invalidate_range（） 呼叫，並使用它來強制 vCPU 在支援 gmem 頁面失效時重新載入/重新檢查其客體提供的 VMSA，例如正在PUNCH_HOLE。使用與 VMX 對 APIC 存取頁面相同的核心邏輯來處理無效，因為這兩個概念幾乎相同：將頁面的實體位址推入 vCPU 的控制結構： 1. 建立無效序列計數器的快照 2.抓住 pfn（在本例中來自 guest_memfd） 3.取得讀取 4 的mmu_lock。如果需要重試，請重新要求重新載入，否則請認可變更。請注意，中的 #4 重新請求動作是必要的，因為 KVM 的重試邏輯是模糊的，即可能會收到誤報。如果guest_memfd頁面已被刪除，則在某些時候，後續重新載入將無法從 guest_memfd 取得 PFN，並且 KVM 將無法KVM_RUN。如果重試是由於誤報，KVM 將重試，直到沒有相關的 MMU 通知程式事件（並且會在外部迴圈中重試，即根據需要刪除鎖定和重新播放）。筆記 #2！當相關的記憶體插槽被刪除或移動時，請注意使 VMSA 失效，因為回應PUNCH_HOLE的無效是基於記憶體插槽綁定（KVM 不知道在沒有綁定的情況下要使哪些 GFN 範圍失效）。更重要的是，VMSA 映射需要一個 memslot，即如果其 memslot 消失，則必須失效，無論底層 guest_memfd inode 的狀態如何。如果 vCPU 的control.vmsa_pa無法失效 （由 pre_sev_run（） 檢查），則 KVM 無法正確釋放頁面，因為韌體會拒絕 RMPUPDATE 以在 vCPU 正在執行中 （即 VMSA 頁面正在使用中時） FAIL_INUSE回收頁面。這反過來又會導致下次使用時 #PF RMP，因為頁面仍會指派給 SNP VM。SEV-SNP：PFN 78d198 的 RMPUPDATE 失敗，pg_level：1，ret：3 SEV-SNP：PFN 0x78d198，RMP 項目：[0xfff0000000144001 - 0x000000000000000f] CPU：3 UID：0 PID：31345 comm：
    sev_snp_vmsa_pu 污染：G U O 污染：[U]=USER， [O]=OOT_MODULE 硬體名稱：Google， Inc.
    Arcadia_IT_80/Arcadia_IT_80， BIOS 34.86.0-102 2026 年 1 月 25 日 呼叫追蹤： <TASK> dump_stack_lvl+0x54/0x70 rmpupdate+0x12c/0x140 rmp_make_shared+0x3b/0x60 sev_gmem_invalidate+0xe0/0x170 [kvm_amd] delete_from_page_cache_batch+0x1d8/0x220 truncate_inode_pages_range+0x120/0x3d0 kvm_gmem_fallocate+0x19a/0x270 [KVM] vfs_fallocate+0x1bc/0x1f0 __x64_sys_fallocate+0x48/0x70 do_syscall_64+0x10a/0x480 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP： 0033：0x496c7e </TASK>
    ------------[ 切到這裡 ]------------ SEV： 無法更新 PFN 的 RMP 項目0x78d198錯誤 -14 警告：
    arch/x86/kvm/svm/sev.c：5160 在 sev_gmem_invalidate+0x126/0x170 [kvm_amd]， CPU#3： sev_snp_vmsa_pu/31345 CPU： 3 UID： 0 PID： 31345 通訊： sev_snp_vmsa_pu 污染： G U O 污染： [U]=USER， [O]=OOT_MODULE 硬體名稱： Google， Inc. Arcadia_IT_80/Arcadia_IT_80， BIOS 34.86.0-102 01/25/2026 RIP：
    0010：sev_gmem_invalidate+0x12b/0x170 [kvm_amd] 呼叫追蹤： <TASK> delete_from_page_cache_batch+0x1d8/0x220 truncate_inode_pages_range+0x120/0x3d0 kvm_gmem_fallocate+0x19a/0x270 [kvm] vfs_fallocate+0x1bc/0x1f0
    __x64_sys_fallocate+0x48/0x70 do_syscall_64+0x10a/0x480 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP：
    0033：0x496c7e </TASK> IRQ 事件戳記：20689 hardirq 上次啟用時間為 （20699）：[<ffffffff8e76092c>]
    __console_unlock+0x5c/0x60 hardirq 上次停用時間 （20708）： [<ffffffff8e760911>]
    __console_unlock+0x41/0x60 softirq 上次啟用時間 （20722）： [<ffffffff8e6cd74e>]
    __irq_exit_rcu+0x7e/0x140 softirq 上次停用時間 （20717）： [<ffffffff8e6cd74e>]
    __irq_exit_rcu+0x7e/0x140 ---[ 結束追蹤 0000000000000000000 ]--- 錯誤：無法處理位址 ffff99 的頁面錯誤 ---truncated--- （CVE-2026-90040）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - iio：dac：m62332：修正穩壓器參考計數不平衡 m62332_set_value（） 在每次寫入非零值時啟用 Vcc 穩壓器，並在每次寫入零時將其停用，而無需追蹤通道的目前狀態。由於穩壓器是參考計數的，因此將通道直接從一個非零值變更為另一個值會多次啟用它，而稍後寫入零只會停用它一次。參考計數永遠不會回到零，穩壓器會無限期地保持啟用狀態。僅在從零到非零的轉換時啟用穩壓器，並且僅在從非零到零的轉換時禁用它，使用先前儲存的通道值來檢測邊緣。在 I2C 錯誤路徑上平衡穩壓器，以便在寫入失敗時參考計數保持一致。（CVE-2026-89936）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - LoongArch： KVM： 保留 KVM_MR_FLAGS_ONLY kvm_arch_prepare_memory_region（） 上的記憶體插槽 arch 旗標 會計算 new->arch.flags，即記憶體插槽是 KVM_MEM_HUGEPAGE_CAPABLE 還是 KVM_MEM_HUGEPAGE_INCAPABLE，僅針對 KVM_MR_CREATE 和 KVM_MR_MOVE，並針對其他變更提前返回。但通用程式碼會為每次變更分配一個歸零的記憶體插槽，並且永遠不會複製舊的 >arch，因此在KVM_MR_FLAGS_ONLY更新後，例如切換KVM_MEM_LOG_DIRTY_PAGES以進行即時遷移，活動記憶體插槽的 arch.flags == 0。
    當兩個標誌都清楚時，fault_supports_huge_mapping（） 會單獨進行 HVA 範圍的對齊檢查，這不再驗證 GPA 和 HVA 在 PMD 內是否具有相同的偏移。然後，由於 GPA/HVA 偏移不匹配而標記為KVM_MEM_HUGEPAGE_INCAPABLE的內存插槽可以在讀取錯誤時與 PMD 條目對應，並且由於 kvm_map_page（） 獨立對齊 gfn 和 pfn，因此客體最終會訪問錯誤的主機頁面，正是檢查上方註釋中描述的 d -> f、e -> g 情況。將拱形旗幟從舊的內存插槽中帶過來KVM_MR_FLAGS_ONLY，因為在這種情況下，GPA、HVA 和大小保證不變。（CVE-2026-89908）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - media：s2255：在讀取尾端標記之前檢查韌體大小 s2255_probe（） 會從韌體 blob 的最後 8 個位元組 （fw->data[fw_size - 8] 和 [fw_size - 4]） 讀取 4 位元組標記和版本。如果韌體檔案短於 8 個位元組，則 fw_size - 8 會發生反向溢位，且存取會越界讀取。在建立索引之前驗證韌體大小。（CVE-2026-89878）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - rpcrdma：在發布通知之前進行 arm rn_done rpcrdma_rn_register（） 會使用 xa_alloc（） 將@rn插入 rd_xa，然後再將呼叫端的回呼儲存在 rn->rn_done 中。xarray 使@rn可連線到 rpcrdma_remove_one（），後者會rd_xa遍歷並呼叫每個已註冊通知的 rn->rn_done（rn）。因此，爭用新註冊的裝置移除可以觀察仍為 NULL rn_done@rn，因為通知物件是由其擁有者配置的零，並透過 NULL 函式指標呼叫。
    在 xa_alloc（） 發布@rn之前儲存 rn->rn_done。然後，xarray 的儲存端和載入端排序保證任何在 rd_xa 中找到@rn的 CPU 也會觀察武裝回呼。rpcrdma_rn_unregister（） 會將非空rn_done視為已完成註冊的哨兵，因此早期存放區不得在註冊失敗後繼續存在。當 xa_alloc（） 失敗時，再次清除rn_done。如果保持設定狀態，則接受失敗的清理路徑將在從未插入的@rn上呼叫 rpcrdma_rn_unregister（），從而清除不相關的rd_xa槽並使rd_kref溢位。（CVE-2026-89798）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - dma-direct：從 dma_direct_alloc_from_pool（） 提交返回結構頁面 5b138c534fda （dma-direct：分解出 dma_direct_alloc_from_pool 協助程式） 將 dma_direct_alloc_from_pool（） 更改為返回來自 dma_alloc_from_pool（） 的 CPU 位址。這符合 dma_direct_alloc（），但 dma_direct_alloc_pages（） 也使用協助程式並期望結構頁面 *。透過使 dma_direct_alloc_from_pool（） 傳回結構頁面來解決此問題
    * 再次，並透過 dma_direct_alloc（） 呼叫端的 out 參數將 CPU 位址傳回。
    (CVE-2026-89995)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - KVM：x86/mmu：在無鎖定的 rmap 遍歷中使用鎖定的 rmap 值 __kvm_rmap_lock（） 在觀察到空的 rmap 時，會刻意省略 rmap 鎖定。在此情況下，kvm_rmap_lock_readonly（） 也會重新啟用搶佔並傳回零，因此呼叫端既不持有 rmap 鎖定，也不持有搶佔參照。省略記錄了它所依賴的不變量： * 如果 rmap 為空，則省略鎖定，因為無鎖步行者（唯讀 * 模式）不需要（也不能）遍歷空的 rmap，也不能將 * 項目新增至 rmap。
    也就是說，處理空 rmap * 的唯一路徑在保留 mmu_lock 寫入時這樣做，並且是互斥的。kvm_rmap_age_gfn_range（） 忽略傳回值，無條件輸入 for_each_rmap_spte_lockless（）。迭代器從 rmap_get_first（） 開始，它重新讀取 rmap_head->val，而不是使用鎖定傳回的值。如果寫入器在鎖定的讀取和反覆運算器的重新讀取之間填入 rmap，則老化路徑會遍歷新安裝的 rmap，而不會保留其鎖定。對於KVM_RMAP_MANY rmap，這會讓步行者遵循它從未鎖定的pte_list_desc鏈。持有 mmu_lock 進行寫入的寫入器可以在遍歷進行時透過 kmem_cache_free（） 釋放該鏈（例如回收路徑上的 kvm_zap_all_rmap_sptes（） 或任何 rmap zap），從而提供 slab 釋放後使用。沒有任何東西會序列化兩者：當 CONFIG_KVM_MMU_LOCKLESS_AGING=y 時，老化路徑會在沒有mmu_lock的情況下執行，並且省略了原本會排除寫入器的 rmap 鎖。由於空白路徑會重新啟用搶佔，因此兩次讀取之間的間隔可能會跨越任意排程延遲。透過讓無鎖定遍歷消耗鎖定傳回的值而不是重新讀取 rmap 來修正錯誤類別。
    將 rmap_get_first（） 拆分為 __rmap_get_first（），這會從已讀取的 rmap 值啟動迭代器，並使 for_each_rmap_spte_lockless（） 接受該值並直接呼叫 __rmap_get_first（）。
    kvm_rmap_age_gfn_range（） 傳遞 kvm_rmap_lock_readonly（） 傳回的值：當鎖定被省略時，值為零，__rmap_get_first（） 傳回 NULL，並且跳過遍歷。沒有 lockless walker 會重新讀取 rmap，因此無法違反 lock-elision 不變量，並且不會將 lock（）-without-paired-unlock（） 路徑新增至老化程式碼。（CVE-2026-89928）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - ASoC：loongson：修正 ACPI 屬性剖析中的錯誤處理 在 loongson_card_parse_acpi（） 中，忽略了 'codec-dai-name' 屬性的 device_property_read_string（） 傳回值。如果屬性遺失或無效，稍後會使用未初始化的指標，可能會導致未定義的行為。透過檢查傳回值並適當傳播錯誤來修正此問題。（CVE-2026-89943）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - scsi：qla2xxx：零初始化 bsg 堆疊緩衝區以避免資訊洩露 數個 bsg 處理常式將其請求/回覆暫存在未初始化的 256 位元組堆疊緩衝區 （uint8_t bsg[DMA_POOL_SIZE]） 中，並透過 sg_copy_to_buffer（） 填充它，該緩衝區僅複製與使用者提供的請求有效負載一樣多的位元組。當要求比結構短時，緩衝區的其餘部分會保留過時的堆疊資料。
    然後，qla2x00_read_fru_status（） 和 qla2x00_read_i2c（） 使用 sg_copy_from_buffer（） 將完整結構複製回回覆負載，將未初始化的堆疊位元組洩漏到使用者空間。寫入/更新路徑不會將緩衝區複製回來，但可以將未初始化的欄位饋送至裝置。在所有五個處理常式中宣告時將堆疊緩衝區歸零，以鏡像堆積 kzalloc（） 方法，因此短要求無法再公開過時記憶體。（CVE-2026-89843）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - nvmet-auth：在 SQ 拆卸期間同步逾時工作 nvmet_auth_sq_free（） 取消auth_expired_work與 cancel_delayed_work（）。如果工作已經開始，取消不會等待回呼。
    因此，傳輸拆卸可以釋放或重複使用包含結構nvmet_sq的佇列，而 nvmet_auth_expired_work（） 仍會存取該 SQ。新增一個特定於拆卸的協助程式，在釋放驗證狀態之前同步清空延遲的工作，並從 nvmet_sq_destroy（） 使用它。保留非同步協助程式進行頻內驗證狀態清除，其中 SQ 擁有者會保持作用中。
    (CVE-2026-89970)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - s390/vfio-ap：修正 vfio_ap_mdev_cfg_remove 中的控制網域移除 vfio_ap_config_remove 函式使用 bitmap_andnot 函式清除 matrix_mdev->matrix.adm 點陣圖中的位元 （指定指派給 mdev 的控制網域）。這可防止明確拔除的控制網域從 KVM 客體移除。改用 bitmap_and 函式。（CVE-2026-89959）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - media： cec： core： 修正由於遺漏 rc_free_device（） 呼叫而導致的 kmemleak 提交 dccc0c3ddf8f （media： rc：
    修正 unregister 和 urb/irq 回呼之間的爭用） 移除了 rc_unregister_device（） 中對 rc_free_device（） 的隱含呼叫。但是，提交遺漏了刪除 adap->rc 的空分配，這現在導致永遠不會在分配的 rc 設備上調用 rc_free_device（）。例如，dw-hdmi 解除綁定後，kmemleak 報告以下內容：未參照的物件0xffff00010ac10000（大小 4096）：comm kworker/u16：1，pid 39，jiffies 4294897739十六進位轉儲（前 32 位元組）：20 23 4b 0a 01 00 ff ff 08 00 c1 0a 01 00 ff ff #K.............08 00 c1 0a 01 00 ff ff 00 00 00 00 00 00 00 00 ................回溯 （crc e11baccc）：
    kmemleak_alloc+0x38/0x44 __kmalloc_cache_noprof+0x4a8/0x5e0 rc_allocate_device+0x48/0x2a0 cec_allocate_adapter+0x3ac/0x800 dw_hdmi_cec_probe+0x264/0x634 platform_probe+0xc0/0x188 really_probe+0x4a4/0x8e0 __driver_probe_device+0x2f8/0x440 driver_probe_device+0x60/0x160
    __device_attach_driver+0x1a0/0x2a0 bus_for_each_drv+0x100/0x1a0 __device_attach+0x174/0x350 device_initial_probe+0x90/0xb0 bus_probe_device+0x4c/0x120 device_add+0xdec/0x116c platform_device_add+0x354/0x598 移除 adap->rc 為 NULL 的指派，讓 cec_delete_adapter（） 在 CEC 裝置的最後一個使用者退出以修正 kmemleak 後釋放已分配的 rc 裝置。（CVE-2026-89900）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - media：qcom：iris：關機期間使用 disable_irq（） IRQ 註冊為執行緒 IRQ。在 iris_vpu_power_off（） 中使用 disable_irq_nosync（） 不會等待已排入佇列的執行緒 IRQ 處理常式完成後再傳回。因此，執行緒式 IRQ 處理常式在 VPU 關閉電源後仍可執行，並在關閉電源後存取硬體暫存器。將 disable_irq_nosync（） 替換為 disable_irq（），以便關閉電源路徑等待任何正在進行的執行緒 IRQ 處理常式完成，然後再返回。（CVE-2026-89869）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - media：cec：在釋放中斷的傳輸之前停用延遲工作 cec_transmit_msg_fh（） 會捨棄 adap->lock 以等候 wait_for_completion_killable（） 中的封鎖傳輸。如果該等待被訊號中斷，則 cancel_delayed_work_sync（） 可以在 CEC kthread 透過 cec_transmit_done_ts（） 中的 schedule_delayed_work（&data->work） 準備回覆逾時之前執行。然後，工作在取消後被布防，並且資料被釋放，其delayed_work仍處於擱置狀態： ODEBUG：釋放活動（活動狀態 0） 物件：...
    提示：cec_wait_timeout 使用 disable_delayed_work_sync（）：它會取消工作並停用它，因此後面的 schedule_delayed_work（） 變成無操作，並且無法重新武裝工作。之後會立即釋放資料，因此不需要重新啟用。（CVE-2026-89899）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - scsi：qla2xxx：在取得 vport 參照後，保留報告 ID 擷取 qla24xx_report_id_acquisition（） format-1 處理中的主機對應更新vport_slock，然後呼叫 qla_update_host_map（） 而不鎖定後vport_slock。這會到達 qla_update_vp_map（），它透過 btree_insert32（）/btree_update32（）/btree_remove32（） 改變 ha->host_map btree，並記錄為要求調用者持有 vport_slock。在解鎖的情況下運行它可能會爭用並行host_map更新並損壞 btree。同一函式中的 format-2 路徑已將其host_map更新 （SET_AL_PA） 包裝在 vport_slock 中;format-1 路徑是唯一的異常值。在 format-1 qla_update_host_map（） 呼叫中保留vport_slock，以遵守記錄的鎖定合約。迴圈中採取的vref_count使 vport 保持有效，因此這只會新增缺少的 host_map 序列化。（CVE-2026-89844）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - scsi：qla2xxx：qla2x00_get_firmware_state（） 中的零信箱結構 mbx_cmd_t 已配置在堆疊上，但未初始化。qla2x00_mailbox_command（） 有數個提前返回路徑 （PCI 永久故障、裝置失敗、EEH 忙碌、ISP 中止擱置、信箱存取逾時、清除 mbox），這些路徑會傳回而不將輸入信箱暫存器寫回 mcp->mb[]。然後，qla2x00_get_firmware_state（） 無條件地將 mcp->mb[1..6] （和 mb[12]） 複製到調用方的 states[] 陣列中，而不管傳回值為何。發生此類故障時，複製的值是未初始化的核心堆疊記憶體，然後透過 fw_state 和 mpi_fw_state sysfs 處理常式將其公開給使用者空間。將信箱結構歸零，讓失敗的查詢產生確定性的歸零狀態，而不是洩漏堆疊內容。（CVE-2026-89852）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 暫存：rtl8723bs：修正 rtw_action_frame_parse（） 中的 OOB 讀取 rtw_action_frame_parse（） 採用 frame_len 參數，但在索引到框架主體之前從未實際檢查過它：const u8 *frame_body = frame + sizeof（struct ieee80211_hdr_3addr）;...c = frame_body[0];...a = frame_body[1];frame_body已經將 24 個位元組 （sizeof（struct ieee80211_hdr_3addr）） 指向 frame，因此讀取 frame_body[0] 和 frame_body[1] 需要 frame_len >= 26。短於此值的管理動作框架 （例如，恰好 24 位元組，惡意對等體可以傳送的最小值） 會導致 1-2 位元組的越界讀取。這可從 ioctl_cfg80211.c 中的 rtw_cfg80211_monitor_if_xmit_entry（） 和 cfg80211_rtw_mgmt_tx（） 達成，兩者都會直接傳遞受攻擊者/使用者影響的影格緩衝區和長度。在取消參照之前新增缺少的長度檢查frame_body。（CVE-2026-90017）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - ftrace：在存取其ftrace_ops之前先進行trace_array參照 已更新追蹤實例檔案set_ftrace_filter和set_ftrace_notrace，以使用特定的追蹤實例 （trace_arrays）。
    問題是，當這些檔案被打開時，有一個小的爭用窗口，它將在其中使用 inode->private 指標的ftrace_ops來獲取對trace_array的引用，然後獲取它的引用。問題是ftrace_ops本身可能會被釋放。如果執行個體上的 rmdir 在開啟 set_ftrace_filter 檔案的同時發生，則 rmdir 也可能已釋放ftrace_ops，而參照它會導致釋放後使用錯誤並使核心當機。相反地，將trace_array作為檔案私有資料傳入 （頂層執行個體為 NULL），然後將trace_array和ftrace_ops傳遞給 ftrace_regex_open（） 函式。如果 trace_array 為 NULL，則它只使用 ftrace_ops，而不需要參照 （像往常一樣）。如果ftrace_ops為 NULL，則僅適用於最上層執行個體，且可以使用global_ops。這允許trace_array在接觸ftrace_ops之前將其參照遞增，而該在執行個體時也可以釋放。
    (CVE-2026-90002)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - nvmet-tcp：拒絕未經請求的 H2CData PDU nvmet_tcp_handle_h2c_data_pdu（） 僅在檢查 H2CData PDU 的 TTAG 是否為有效的範圍內命令索引，以及命令的資料緩衝區是否已對應之後，才接受 H2CData PDU。它絕不會檢查目標是否已透過為命令傳送 R2T 來索取該資料。遠端主機可能會濫用這一點。它會提交採用 R2T 路徑的寫入命令，並在目標傳輸 R2T 之前，針對該命令的標籤傳送 H2CData PDU。資料會提前完成命令，當命令同步失敗時 （例如，nvmet_check_transfer_len（） 捕獲的長度不相符），則會第二次完成。每次完成都會呼叫 nvmet_tcp_queue_response（），因此相同的命令在仍處於連結狀態時被添加到 queue->resp_list 兩次;第二個 llist_add（） 使節點指向自己 （lentry->next == lentry）。
    然後，nvmet_tcp_process_resp_list（） 遍歷該自我參照節點，並將命令新增至resp_send_list兩次。使用 CONFIG_DEBUG_LIST這會觸發list_add雙重新增檢查 （核心錯誤）;沒有它，循環永遠不會終止，並且nvmet_tcp工作隊列楔入（軟鎖定）。它是可遠端觸發的，不需要在allow_any_host子系統上進行驗證。追蹤是否已針對命令傳輸 R2T，並拒絕在其之前到達的 H2CData PDU。在命令重複使用 （nvmet_tcp_get_cmd（） 將 cmd->flags 歸零） 時，會清除旗標，並維持在單一請求傳輸的多個 H2CData PDU 中設定。
    (CVE-2026-89968)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - media：saa7164：修正資源配置失敗的清理 saa7164_dev_setup（） 在要求 PCI BAR 記憶體區域之前將裝置新增至全域saa7164_devlist。如果 get_resources（） 失敗，saa7164_dev_setup（） 會遞減裝置計數並傳回錯誤，但會讓裝置保持saa7164_devlist狀態。然後，探查錯誤路徑會釋放裝置，在全域清單上留下一個懸空項目。
    重複使用現有的 MMIO 對應錯誤路徑，從saa7164_devlist中移除裝置，並在傳回之前遞減裝置計數。如果已成功要求 BAR0，但 BAR2 要求失敗，也請釋放 BAR0。（CVE-2026-89877）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - mtd： afs：驗證 v2 影像資訊邊界 AFS v2 剖析器使用 footer[8] 在現行擦除區塊內尋找影像資訊區塊，然後使用影像資訊region_count從固定本端陣列遍歷項目。頁尾位移和區域計數來自快閃記憶體內容，使用前不會針對擦除區塊或本機影像資訊陣列進行檢查。拒絕其影像資訊位移會使擦除區塊計算下溢的 v2 項目，並在遍歷區域項目之前拒絕無法放入本機影像資訊陣列中的區域計數。（CVE-2026-89954）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - media：video-i2c：修正失敗時留在 kthread_vid_cap 中的 kthread 錯誤指標 kthread_run（） 會在失敗時傳回ERR_PTR，而不是 NULL。當 start_streaming（） 失敗時，data->kthread_vid_cap 會保留此錯誤指標，而不是被清除。這會導致兩個後續錯誤： 1. 未來對 start_streaming（） 的呼叫會看到一個非 NULL kthread_vid_cap並立即傳回 0（成功），而無需實際啟動捕獲執行緒。2. 調用 stop_streaming（） 會檢查錯誤指標的 'kthread_vid_cap == NULL'，並繼續在錯誤指標上呼叫 kthread_stop（），導致核心崩潰。
    在跳到錯誤路徑之前，在失敗時將 kthread_vid_cap 重設為 NULL，以修正此問題。
    (CVE-2026-89871)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - HID：sony：在探查失敗時清理裝置清單 sony_input_configured（） 會在 HID 核心註冊其輸入裝置之前將一些控制器新增至 sony_device_list。回呼成功傳回後，input_register_device（） 可能會失敗。然後，sony_probe（） 觀察到HID_CLAIMED_INPUT清除並展開，但只會停止 HID 硬體。當其清單節點保持連結時，devres 管理的sony_sc會釋放，因此下一個相符的控制器會周遊釋放的記憶體。將清單節點和裝置識別碼初始化為非作用中狀態。將清單移除設為冪等，並在每個探查失敗路徑上執行驅動程式私有清除。當 sony_input_configured（） 在 sony_probe（） 處理遺漏的輸入宣告之前，已經還原部分初始化時，這也會使第二次清理安全無虞。使用自動來源分析在 0 秒 （https://0sec.ai） 之前找到;根據 HID 輸入配準和探棒展開路徑進行驗證。（CVE-2026-90041）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - arm64：停用 MTE 時不要讀取 GMID_EL1 __cpuinfo_store_cpu（） 會限制原始ID_AA64PFR1_EL1上的GMID_EL1讀取，因此即使核心已停用 MTE （CONFIG_ARM64_MTE=n 或 arm64.nomte），它也會讀取暫存器。KVM 設定HCR_EL2。TID5 時，pKVM 會插入主機無法處理的 UNDEF：
    內部錯誤：哎呀 - 未定義指令：0000000002000000 [#1] SMP pc：
    __cpuinfo_store_cpu+0xf4/0x264 核心錯誤 - 未同步：嘗試終止閒置任務！只有 pKVM 才能到達它，並且只有在 CPU 離線並重新上線後：其CPU_ON轉送會在 CPU 進入 EL1 之前設定主機 HCR，而普通 nVHE 則將其設定為 CPUHP_AP_KVM_ONLINE。在套用命令列覆寫的 CPU 自己的ID_AA64PFR1_EL1上，以及在 CONFIG_ARM64_MTE 上，沒有暫存器反映讀取。啟動 CPU 在 init_cpu_features（） 剝離不安全的覆蓋之前儲存其暫存器，因此此處也限制硬體值。（CVE-2026-89981）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - scsi： qla2xxx： I2C bsg 處理常式中綁定的 i2c->length struct qla_i2c_access 帶有一個 16 位元長度的欄位和一個固定的 64 位元組緩衝區： struct qla_i2c_access { uint16_t device， offset， option， length; uint8_t buffer[0x40]; } __packed;qla2x00_write_i2c（） 和 qla2x00_read_i2c（） 使用使用者提供的 i2c->length 而不進行任何邊界檢查。i2c 覆蓋在 256 位元組的堆疊上緩衝區上，而 sfp 是 256 位元組的 DMA 集區緩衝區，因此長達 65535 的長度會覆蓋以下兩者： - 寫入：memcpy（sfp， i2c->buffer， i2c->length） 過度讀取堆疊並覆寫 sfp 堆緩衝區，然後 qla2x00_write_sfp（） 從 256 位元組緩衝區中 DMA i2c->長位元組。- 讀取：qla2x00_read_sfp（） DMA 將 i2c->length 位元組放入 256 位元組的 sfp 中，然後 memcpy（i2c->buffer， sfp， i2c>length） 使堆疊上陣列內的 64 位元組緩衝區溢位。持有CAP_SYS_RAWIO的呼叫端可以使用它來損毀堆積和核心堆疊。在兩個處理常式中進行任何複製或 DMA 傳輸之前，拒絕其長度超過緩衝區的要求。（CVE-2026-89864）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - scsi： qla2xxx： edif： 修正 RX SA 刪除檢查中的 NULL 指標解除參照 qla_chk_edif_rx_sa_delete_pending（） 透過 GET_CMD_SP（sp） 取得 SCSI 命令，並立即取消參照 cmd->sc_data_direction。該命令指標可以是 NULL：韌體可能會張貼已傳回或中止命令的狀態完成。調用方 qla2x00_status_entry（） 在完全相同的狀態路徑上確認這一點，重新獲取 GET_CMD_SP（sp） 並在 Command 已傳回的訊息為 NULL 時使用它 -- 但該檢查僅在 qla_chk_edif_rx_sa_delete_pending（） 已經取消參照指標後才會運行，因此 NULL cmd 會在中斷上下文中使核心崩潰。當 cmd 為 NULL 時，在觸摸 cmd->sc_data_direction 之前提前返回。（CVE-2026-89863）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - scsi：qla2xxx：避免在 qla2x00_error_entry（） 中req_q_map雙重讀取 qla2x00_error_entry（） 讀取 ha->req_q_map[que] 兩次：一次用於 NULL 檢查，另一次用於將其分配給 req 時。在佇列拆卸期間，qla25xx_free_req_que（） 會清除對應槽 （ha->req_q_map[que_id] = NULL under mq_lock），而驅動 qla2x00_error_entry（） 的回應佇列中斷仍會註冊 （IRQ 稍後會在 qla25xx_free_rsp_que（）） 中發布）。如果在兩次讀取之間將插槽設為 NULL，則 req 會變成 NULL 並取消參照。將插槽讀取一次到 req 和 NULL 檢查，然後再使用。mq_lock 是互斥，無法從中斷內容中取得，因此單一讀取加上本機檢查是針對報告的 NULL 解除參照的適當修正。（CVE-2026-89845）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - powerpc/mm：修正複合 vmemmap 母體中的錯誤addr_pfn追蹤 vmemmap_populate_compound_pages（） 會使用addr_pfn來判斷複合頁面內的 PFN 位移，並決定目前的 vmemmap 插槽是否應填入為前頁對應，或應重複使用尾頁對應。不過，addr_pfn會與 addr 並行手動推進。迴圈本身在 vmemmap 位址空間中進行，因此 addr 中的每個PAGE_SIZE步驟都涵蓋 PAGE_SIZE / sizeof（struct page） struct 頁面插槽。由於 addr_pfn 與資料 PFN 單位的 nr_pages 進行比較，因此它應該前進相同數量的 PFN。現有的手動增量與此不符，因此無法可靠地追蹤與目前 addr 對應的 PFN。因此，可以從錯誤的 PFN 計算pfn_offset，並且代碼可以對錯誤的複合頁面位置做出頭/尾決策。透過直接從目前的 vmemmap 位址派生addr_pfn而不是將其作為迴圈狀態攜帶來修正此問題。（CVE-2026-89961）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - LoongArch：BPF：重構尾部調用中的跳轉偏移計算舊的基於巨集的jmp_offset計算從過時的預先密碼步幅中得出跳躍距離，這可能會導致錯誤的分支偏移和額外 JIT 傳遞下的軟鎖定。透過直接計算絕對目標上的偏移來解決此問題：
    ctx->offset[insn + 1] - ctx->idx。若要避免在大小估計期間發生錯誤的 16 位元範圍檢查中止，請新增 ctx->image == NULL 保護以插入安全的虛擬位移。（CVE-2026-89906）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - f2fs：修正以避免 f2fs_fsync_node_pages（） 中潛在的死迴圈： 爭用情形中存在潛在的死迴圈： 執行緒 A、執行緒 B - fsync - f2fs_do_sync_file - f2fs_fsync_node_pages - last_fsync_dnode - folio_get（last_folio） - f2fs_setattr - f2fs_truncate - f2fs_truncate_blocks - f2fs_do_truncate_blocks - f2fs_truncate_inode_blocks - truncate_dnode - truncate_node - invalidate_mapping_pages - 對開>映射 = NULL - is_node_folio一律傳回 false - 不可部分完成 && ！marked 一律為true，則轉至重試 （CVE-2026-89833）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - NFSD：使用 NFSD_NET_UP 寫入 /proc/fs/nfsd/unlock_filesystem，或傳送 NFSD_CMD_UNLOCK_FILESYSTEM 或 NFSD_CMD_UNLOCK_EXPORT netlink 命令，會遍歷 NFSv4 用戶端雜湊表以撤銷開啟狀態並取消非同步 COPY 作業。所有三個處理常式都會在 nn->nfsd_serv 上行走，但透過 portlist 或 netlink listener_set 新增的接聽程式會在任何 nfsd 執行緒啟動之前設定 nn->nfsd_serv。nfsd_startup_net（） 尚未配置 nn->conf_id_hashtbl，因此步行者取消參照 NULL 表。具有CAP_SYS_ADMIN的本機管理員可以透過這種方式使核心當機，而無需啟動伺服器。nn->nfsd_serv 是在建立服務時設定的，這會在表格配置之前設定。NFSD_NET_UP改為將表格所在的視窗括起來：設定在 nfsd_startup_net（） 的結尾，並在釋放後在 nfsd_shutdown_net（） 中清除，兩者都在 nfsd_mutex 下。對NFSD_NET_UP上的三個解鎖路徑進行門控，可修正啟動時空取消參照，同時保留較早的關機後釋放後使用修正。（CVE-2026-90039）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - dm：修正 resume-vs-remove 爭用 如果使用者同時發出 resume ioctl 和移除 ioctl，則裝置可能會在 __dm_destroy 中暫停後繼續。結果是，在不呼叫 postsuspend 方法的情況下，會銷毀資料表。Dm 目標預期只有在呼叫 postsuspend 方法方法之後才能移除它們。如果我們打破這種期望，可能會導致各種目標的不當行為。例如，在 dm-integrity 目標中，重新開機通知程式不會取消註冊，從而導致釋放後使用。如果裝置遭到破壞，則拒絕繼續，以修正此錯誤。（CVE-2026-89997）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - f2fs：使用 s_umount 保護 critical_task_priority 更新 sysfs 儲存路徑已s_umount用於 GC 執行緒控制項目，並且也涵蓋了ckpt_thread_ioprio。critical_task_priority也會更新檢查點或 GC kthread 排程狀態，但該序列化不涵蓋它。它可以與停止這些執行緒的重新掛載或拆卸路徑爭用。也使用 s_umount 保護critical_task_priority sysfs 寫入。（CVE-2026-89831）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - f2fs：修正資料區塊分配失敗時的有效區塊計數洩漏 在 __allocate_data_block（） 中，當配置新的資料區塊 （dn->data_blkaddr == NULL_ADDR） 時，首先呼叫 inc_valid_block_count（） 以遞增total_valid_block_count和i_blocks。如果後續的 f2fs_allocate_data_block（） 失敗，則函數會直接傳回錯誤，而不會回滾已經遞增的區塊計數，從而造成永久洩漏。在傳回錯誤之前呼叫 dec_valid_block_count（） 復原增量來修正此問題。條件 old_blkaddr == NULL_ADDR 精確識別呼叫 inc_valid_block_count（） 的情況。（CVE-2026-89830）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - drm/amd/display：驗證私人顏色道具的平面去伽瑪 LUT 大小 與由 amdgpu_dm_verify_lut_sizes（） 保護的 CRTC 去伽瑪路徑不同，每個平面的去伽瑪 LUT 大小在使用前從未經過驗證。__set_dm_plane_degamma（） 將使用者提供的大小直接傳遞到 __is_lut_linear（） 中，對於非線性 LUT，則傳遞到 __set_input_tf（） -> __drm_lut_to_dc_gamma（），後者始終反覆運算MAX_COLOR_LUT_ENTRIES條目，而不管實際的 LUT 大小為何。因此，格式錯誤的AMD_PLANE_DEGAMMA_LUT blob （例如單一項目） 可能會觸發 __is_lut_linear（） 中的除以零或越界讀取
    __drm_lut_to_dc_gamma（）。拒絕任何大小與 MAX_COLOR_LUT_ENTRIES 不相符的平面去伽瑪 LUT，鏡像程式碼在下面幾行已經宣告的不變量（並且 CRTC 路徑強制執行）。AMD_PLANE_DEGAMMA_LUT 屬性只會在已定義 AMD_PRIVATE_COLOR 的組建上公開。（CVE-2026-89819）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 惡意建構的 IMAP 行可能會導致越界緩衝區讀取。此漏洞已在 Thunderbird 156、Thunderbird 140.16和 Thunderbird 153.3中修復。（CVE-2026-92239）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - mm/damon/core：處理 apply_min_nr_regions（） 中的區域分割失敗 damon_apply_min_nr_regions（） 重複分割每個區域，直到其大小變得足夠小，以滿足使用者定義的區域數量下限。迴圈假設分割作業 （damon_split_region_at（）） 一律會成功並建立新區域。但是，例如，對於記憶體配置失敗，操作可能會無訊息地失敗。
    如果發生這類失敗，且區域是最後一個區域，則連結清單型下一個區域擷取會傳回無效指標。因此，可能會發生無效的記憶體解除參照和損毀。即使處理了極端情況，它也會透過嘗試其他目標的分割區域來對配置器施加壓力。藉由中斷任何區域分割失敗的所有迴圈來修正此問題。這表示可能會有min_nr_regions違規。這種情況很少發生，因為分配可以說太小而不能失敗。
    即使發生了，也只是暫時的。damon_apply_min_nr_regions（） 會在彙總間隔後再次呼叫。該問題對用戶的影響應該很小，因為分配可以說太小而不能失敗。但是，理論上它仍然可能發生，而且後果非常糟糕。這個問題是由 Sashiko 發現的 [1]。（CVE-2026-90004）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - batman-adv： dat：避免 IP 擷取中未對齊的錯誤 與 SKB 中 ARP 封包的對齊方式無關，batadv_arp_ip_src 或 batadv_arp_ip_dst 將具有未對齊存取 （在沒有原生未對齊讀取支援的硬體上）。使用 get_unaligned（） 在所有架構上正確處理此問題。
    (CVE-2026-89949)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Debian Linux - network-manager-fortisslvpn - 無 Ubuntu Linux - [憑證換行插入允許本機根程式碼執行] （CVE-2026-91839）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - net： skbuff：請勿skb_tx_error skb_zerocopy（） skb_zerocopy（） 中的來源 skb 將片段從 @from 複製到 @to。在 skb_orphan_frags（） 失敗時，它會呼叫 skb_tx_error（@from），這是複製協助程式不擁有的來源 skb 上的破壞性操作。這樣就完成了 @from 的零副本 uarg 並清除SKBFL_ALL_ZEROCOPY，包括SKBFL_SHARED_FRAG頁面擁有權標記。兩個呼叫端都已在自己的丟棄路徑上報告失敗。nfnetlink_queue 在 nla_put_failure 處執行此操作，而 Open vSwitch 在 ovs_dp_process_packet（） 的 flow-miss drop arm 中執行此操作，因此將其丟棄到此處不會丟失任何內容。在 Open vSwitch 的OVS_ACTION_ATTR_USERSPACE路徑上，skb 不會因以下錯誤而釋放：do_execute_actions（） 會忽略 output_userspace（） 的傳回值，除非上調是最後一個動作，否則會透過流程的其餘動作繼續轉送相同的 skb。當該 skb 仍在飛行時，uarg 已完成，告訴生產者其緩衝區是空閒的，並且SKBFL_SHARED_FRAG在堆疊其餘部分仍在處理的 skb 上清除。該標誌使 esp_input（） 呼叫 skb_cow_data（） 而不是就地解密，因此稍後的本地 ESP 傳遞可以解密 skb 不私有的片段。將錯誤報告留給呼叫者。（CVE-2026-90049）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - KVM：s390：匯入觀察點資料時採取 srcu __import_wp_info（） 會使用 read_guest_abs（） 備份觀察點的原始客體記憶體內容，即 kvm_read_guest（），因此透過 __kvm_memslots（） 解析記憶體插槽。這需要保留 kvm->srcu（或 kvm->slots_lock），否則一旦 SRCU 寬限期過去，並發 memslot 更新可能會釋放我們下面的 memslots 陣列。由於這不是快速路徑，因此遵循鎖定排序（首先是互斥，然後是 srcu）拿起大錘子並按住 srcu 以進行完整匯入。（CVE-2026-89922）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - mm/damon/core：避免無限 kdamond_merge_regions（） 內部迴圈 修補程式系列 mm/damon：無限迴圈、NULL 取消參照和爭用的緊急修正，v1.1。Sashiko 在 DAMON 中發現了一些可能導致無限迴圈、空取消參照和監控結果降級的問題。前兩個聽起來很可怕，但無限循環只會在不合理的用戶設置下發生。空取消參照僅在單元測試中。
    監控結果的退化是微不足道的，因為它只是盡最大努力，而且這些只會發生在不太可能的比賽中。儘管如此，如果可能的話，這些都是最好修復的錯誤。修正這些問題。此修補程式 （共 6 個）：由於類似事件的線上參數更新，DAMON 區域的數量可能高於使用者設定的上限。kdamond_merge_regions（） 會重複合併區域，直到數量達到限制為止，同時將合併臨界值加倍，達到理論上的最大臨界值。它只能嘗試到理論上的最大閾值，因為即使是積極的合併也可能因減少低於使用者定義上限的區域數量而失敗。例如，可能有許多無法合併的使用者定義非連續區域。以臨界值為基礎的迴圈中斷條件是透過將下一次合併嘗試的臨界值與理論最大臨界值進行比較來評估。如果max_thres大於 UINT_MAX / 2，則將臨界值加倍可能會使其溢位，並繞過迴圈中斷條件。在這種情況下，如果無法像上面解釋的那樣將區域數量減少到上限以下，則循環將無限運行。
    在將臨界值加倍之前，先執行中斷條件檢查，以防止這種情況發生。此外，請防止臨界值超過最大臨界值，因為臨界值可能會溢位並套用錯誤的合併臨界值。此問題在現實世界中不太可能發生，因為與取樣間隔相比，max_thres高於 UINT_MAX / 2 需要不切實際的大聚合間隔。此外，它需要設定大量不連續的區域。儘管如此，後果很糟糕，修復方法也很簡單。這個問題是由 Sashiko 發現的 [1]。（CVE-2026-89796）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - drm/amdkfd：防止 CRIU 佇列還原中出現 NULL restore_mqd 當 CRIU 還原進行時 （qd ！= NULL），create_queue_cpsch（） 和 create_queue_nocpsch（） 都會無條件呼叫 mqd_mgr->restore_mqd（），且沒有 NULL 保護。在未針對指定佇列類型實作 restore_mqd 的任何系統上，持有CAP_CHECKPOINT_RESTORE的使用者可以觸發核心 NULL 指標解除參照，並透過發出具有特製佇列還原物件的KFD_IOC_CRIU_OP_RESTORE來使機器發生錯誤。請注意，checkpoint_mqd同樣未在 上 GFX12實作，因此任何合法的 CRIU 映像檔都無法到達此路徑，只有手工製作的還原承載。在解析mqd_mgr之後立即為restore_mqd新增空保護，透過現有的錯誤標籤展開，如果未實作回呼，則傳回 -EOPNOTSUPP。這反映了 checkpoint_mqd（） 中現有的checkpoint_mqd保護。（CVE-2026-89807）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - mm/migrate_device：避免複合對開本的越界寫入 migrate_device_range（） 和 migrate_device_pfns（） 清除複合對開本之後的項目，以便 PFN 陣列保留其頁面精細表示法。如果複合對開本超出呼叫端提供的範圍結尾，迴圈會清除所有後續對開本項目，而不會將它們限制為 npages 大小陣列中剩餘的插槽數，從而造成越界寫入。如果複合對開本的頁面精細表示法不完全適合其餘的 PFN 陣列，請勿繼續使用複合對開本。如果發生這種情況，請捨棄為對開本取得的任何參照和鎖定，清除其餘項目，然後停止收集。使用 HMM 在 KASAN x86 QEMU 核心上觀察到migrate_anon_huge_zero自我測試。將匿名大頁面移轉至裝置記憶體後關閉 /dev/hmm_dmirror0 練習：dmirror_fops_release（） -> dmirror_device_evict_chunk（） -> migrate_device_range（） （CVE-2026-89967）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - s390/vfio-ap：修正 vfio_ap_mdev_set_kvm（） 中錯誤時過時的 pqap_hook 指標 在 vfio_ap_mdev_set_kvm（） 中，kvm->arch.crypto.pqap_hook 設定為 &matrix_mdev->pqap_hook，然後再取得更新鎖定並檢查 mdev 清單是否有衝突的指派。如果另一個 mdev 已附加至相同的 KVM 執行個體，則函式會傳回 -EPERM，而不還原勾點指標，讓 kvm->arch.crypto.pqap_hook 指向失敗的matrix_mdev，而不是合法擁有 KVM 的 mdev。由於此錯誤路徑上從未設定 matrix_mdev->kvm，因此稍後關閉 matrix_mdev 時，vfio_ap_mdev_unset_kvm（） 將不會清理勾點。如果隨後釋放matrix_mdev，客體執行的任何 PQAP 指令都會透過pqap_hook_rwsem取消參照過時指標，從而導致釋放後使用。由於 kvm->arch.crypto.pqap_hook 僅在 vfio_ap_mdev_set_kvm（） 函式中設定，並在 vfio_ap_mdev_unset_kvm（） 函式中清除，因此只需檢查「kvm->arch.crypto.pqap_hook ！= NULL」即可確定它是否屬於另一個 mdev。這樣可以減輕反覆運算 matrix_dev->mdev_list 清單以查看 kvm 物件是否指派給另一個 mdev 的需要。這是在 v3 中引入的，以減輕在反覆執行清單時進行mdevs_lock的需求;不過，這並不能防止潛在的爭用情形。pqap_hook_rwsem（寫入）現在在 get_update_locks_for_kvm（） 內執行，而 （） 已更新以取得 kvm->lock 和 mdevs_lock 之間的pqap_hook_rwsem（寫入）。此順序與 PQAP 攔截路徑一致，該路徑在讀取模式下獲取 pqap_hook_rwsem，而 srcu 保存在 vcpu->mutex 下，從而建立相依性：kvm->lock -> vcpu->mutex -> srcu -> pqap_hook_rwsem（讀取）。
    pqap_hook_rwsem現在在 release_update_locks_for_kvm（） 中釋放，而 （） 已更新為釋放 mdevs_lock 和 kvm->lock 之間的 pqap_hook_rwsem（write）。此外，vfio_ap_mdev_unset_kvm（） 中的 kvm_put_kvm（） 會移動到 release_update_locks_for_kvm（） 之後。之前，它是在保留 kvm->lock 時呼叫的;如果它是最後一個參照，kvm_destroy_vm（） 將在 kvm->lock 下運行，這將鎖死。（CVE-2026-89960）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 攻擊者可傳送特製的 DNS-over-HTTPS 要求，其中包含密碼編譯上無效的 SIG（0） 記錄，然後過早關閉傳輸連線，藉此導致 'named' 中止。此問題影響 BIND 9 版本 9.20.09.20.27（至 、 9.21.09.21.25和 9.20.9-S1 至 9.20.27-S1）。
    (CVE-2026-77692)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - scsi：qla2xxx：傳送 NVMe LS 拒絕時保持 qpair 鎖定 qla_nvme_ls_reject_iocb（） 會從 __qla2x00_alloc_iocbs（） （假設保留 hardware_lock） 和 qla2x00_start_iocbs（） （進階響鈴並響鈴請求門鈴） 來分配請求響鈴並推進請求響鈴，但本身不進行鎖定。它的兩個呼叫端在沒有持有生產者鎖定的情況下叫用它：- qla_nvme_xmt_ls_rsp（），NVMe-FC .xmt_ls_rsp傳輸回呼，在其錯誤路徑上，以及 - qla2xxx_process_purls_pkt（），從 purex 工作/DPC 上下文執行。兩者都使用 ha->base_qpair，其qp_lock_ptr為 hardware_lock，因此它們可以在基本環上與正常 I/O 提交同時運行，並破壞環生產者狀態，從而導致命令重複或刪除。第三個調用方 qla2xxx_process_purls_iocb（） 在 qla24xx_process_response_queue（） 內運行，qpair 鎖已經保持並且是安全的;這也是為什麼無法在協助程式本身內部進行鎖定的原因 （它會在回應路徑上遞迴重新取得hardware_lock）。qp_lock_ptr兩個未鎖定的來電者周圍，並將協助者記錄為來電者鎖定。兩者都在進程內容中執行，因此會使用 spin_lock_irqsave（），鎖定區域中的任何內容都不會休眠。
    (CVE-2026-89857)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名稱	嚴重性
346563	Linux Distros 未修補弱點：CVE-2026-90026	high
346562	Linux Distros 未修補弱點：CVE-2026-89963	medium
346561	Linux Distros 未修補弱點：CVE-2026-89934	medium
346560	Linux Distros 未修補弱點：CVE-2026-90040	medium
346559	Linux Distros 未修補弱點：CVE-2026-89936	high
346558	Linux Distros 未修補弱點：CVE-2026-89908	high
346557	Linux Distros 未修補弱點：CVE-2026-89878	high
346556	Linux Distros 未修補弱點：CVE-2026-89798	medium
346555	Linux Distros 未修補弱點：CVE-2026-89995	high
346554	Linux Distros 未修補弱點：CVE-2026-89928	high
346553	Linux Distros 未修補弱點：CVE-2026-89943	high
346552	Linux Distros 未修補弱點：CVE-2026-89843	high
346551	Linux Distros 未修補弱點：CVE-2026-89970	critical
346550	Linux Distros 未修補弱點：CVE-2026-89959	high
346549	Linux Distros 未修補弱點：CVE-2026-89900	medium
346548	Linux Distros 未修補弱點：CVE-2026-89869	medium
346547	Linux Distros 未修補弱點：CVE-2026-89899	high
346546	Linux Distros 未修補弱點：CVE-2026-89844	high
346545	Linux Distros 未修補弱點：CVE-2026-89852	medium
346544	Linux Distros 未修補弱點：CVE-2026-90017	high
346543	Linux Distros 未修補弱點：CVE-2026-90002	high
346542	Linux Distros 未修補弱點：CVE-2026-89968	high
346541	Linux Distros 未修補弱點：CVE-2026-89877	high
346540	Linux Distros 未修補弱點：CVE-2026-89954	high
346539	Linux Distros 未修補弱點：CVE-2026-89871	medium
346538	Linux Distros 未修補弱點：CVE-2026-90041	high
346537	Linux Distros 未修補弱點：CVE-2026-89981	medium
346536	Linux Distros 未修補弱點：CVE-2026-89864	high
346535	Linux Distros 未修補弱點：CVE-2026-89863	high
346534	Linux Distros 未修補弱點：CVE-2026-89845	medium
346533	Linux Distros 未修補弱點：CVE-2026-89961	high
346532	Linux Distros 未修補弱點：CVE-2026-89906	high
346531	Linux Distros 未修補弱點：CVE-2026-89833	medium
346530	Linux Distros 未修補弱點：CVE-2026-90039	medium
346529	Linux Distros 未修補弱點：CVE-2026-89997	high
346528	Linux Distros 未修補弱點：CVE-2026-89831	medium
346527	Linux Distros 未修補弱點：CVE-2026-89830	medium
346526	Linux Distros 未修補弱點：CVE-2026-89819	high
346525	Linux Distros 未修補弱點：CVE-2026-92239	high
346524	Linux Distros 未修補弱點：CVE-2026-90004	medium
346523	Linux Distros 未修補弱點：CVE-2026-89949	medium
346522	Linux Distros 未修補弱點：CVE-2026-91839	high
346521	Linux Distros 未修補弱點：CVE-2026-90049	critical
346520	Linux Distros 未修補弱點：CVE-2026-89922	high
346519	Linux Distros 未修補弱點：CVE-2026-89796	medium
346518	Linux Distros 未修補弱點：CVE-2026-89807	medium
346517	Linux Distros 未修補弱點：CVE-2026-89967	high
346516	Linux Distros 未修補弱點：CVE-2026-89960	high
346515	Linux Distros 未修補弱點：CVE-2026-77692	high
346514	Linux Distros 未修補弱點：CVE-2026-89857	critical

偵測

Nessus 的 Misc. 系列

high

medium

medium

medium

high

high

high

medium

high

high

high

high

critical

high

medium

medium

high

high

medium

high

high

high

high

high

medium

high

medium

high

high

medium

high

high

medium

medium

high

medium

medium

high

high

medium

medium

high

critical

high

medium

medium

high

high

high

critical