Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - riscv：entry：在 sstatus 上重新加载门影子调用堆栈。SPP，而非 tp 在 CONFIG_SHADOW_CALL_STACK 下，handle_exception（） 仅当陷阱来自用户空间时才重新加载内核影子调用堆栈指针 （gp）。它通过 scs_load_current_if_task_changed 做出此决定，后者将陷阱时间 tp（从头开始读回 s5）与当前的 tp： beq \prev， tp， _skip_scs scs_load_current
    _skip_scs：tp 是用户可写的寄存器。在捕获之前将 tp 设置为其自有 task_struct （t） 的线性映射地址的用户任务使比较成功（在我们的测试中启用 KASLR 后，可以通过暴力破解实现），因此内核会跳过scs_load_current并继续使用用户空间留下的 gp 运行。在 CONFIG_SHADOW_CALL_STACK gp 下为影子调用堆栈指针，load_global_pointer 为非 op，因此编译程序发出的 sd ra、-8（gp） / ld ra、-8（gp） 然后在每个非叶函数中写入并返回受攻击者控制的地址 -- 非特权内核任意写入和控制流劫持原语。返回时，中毒的 gp 会保存到 task_struct.scs_sp，因此也会跳过每个后续条目的重新加载。Decide 来自硬件 sstatus 的用户空间。SPP 位（此时已在 s1 中）而非来自 tp，镜像检查 ret_from_exception 之后已经使用了一些指令。SPP 由硬件在陷阱进入时写入，无法从 U 模式伪造。
    合法行为未更改：用户条目 （SPP=0） 重新加载任务影子调用堆栈，嵌套内核条目 （SPP=1） 跳过该堆栈。（CVE-2026-99018）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - riscv： entry：在 sstatus 上重新載入閘門影子呼叫堆疊。SPP，而不是 tp 在 CONFIG_SHADOW_CALL_STACK 下，只有當陷阱來自使用者空間時，handle_exception（） 才會重新載入核心影子呼叫堆疊指標 （gp）。它使用 scs_load_current_if_task_changed 做出了這個決定，它將陷阱時間 tp（從頭開始讀回 s5）與當前 tp 進行比較：beq \prev、tp、_skip_scs scs_load_current
    _skip_scs：tp 是一個使用者可寫入的暫存器。在陷印之前將 tp 設定為自己 task_struct （t） 的線性映射位址的使用者任務使比較成功（在我們的測試中啟用 KASLR 可以透過暴力破解來實現），因此核心會跳過scs_load_current並繼續使用使用者空間保留的 gp 運行。在 CONFIG_SHADOW_CALL_STACK gp 下是影子呼叫堆疊指標，而 load_global_pointer 是無操作，因此編譯器發出的 sd ra、-8（gp） / ld ra、-8（gp） 然後寫入並返回攻擊者控制的位址 -- 無權限的核心任意寫入和控制流劫持原語。中毒的 gp 會在傳回時儲存到 task_struct.scs_sp，因此後續每個項目也會跳過重新載入。Decide 來自硬體狀態的使用者空間。SPP 位元（此時已在 s1 中）而不是來自 tp，鏡像ret_from_exception稍後已經使用了一些指令的檢查。SPP 由硬體在陷阱條目上寫入，無法從 U 模式偽造。
    合法行為不變：使用者項目 （SPP=0） 重新載入任務影子呼叫堆疊，巢狀核心項目 （SPP=1） 跳過它。（CVE-2026-99018）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - riscv:entry:sstatus でのシャドウ呼び出しスタックのリロードをゲートします。tpではなくSPP CONFIG_SHADOW_CALL_STACKでは、トラップがユーザー空間から来た場合のみ、handle_exception()はカーネルシャドウコールスタックポインター(gp)をリロードします。トラップタイム tp(sscratch から s5 に読み戻す)を現在の tp: beq \prev、tp、_skip_scs scs_load_current と比較する scs_load_current_if_task_changed でこの決定を下しました
    _skip_scs:tp はユーザーによる書き込み可能なレジスタです。トラップの前にtpを自身のtask_struct(t)のリニアマップアドレスに設定するユーザータスクにより、比較が成功するため(弊社のテストではKASLRを有効にしてブルートフォースで達成できます)、カーネルはscs_load_currentをスキップし、ユーザー空間が所定の位置に残したgpで実行され続けます。CONFIG_SHADOW_CALL_STACK gp はシャドウコールスタックポインターであり、load_global_pointer は no-op であるため、すべての非リーフ関数のコンパイラが発行する sd ra、-8(gp) / ld ra、-8(gp) は、その後、攻撃者がコントロールするアドレス(権限のないカーネルの任意の書き込みおよび制御フローハイジャックのプリミティブ)に書き込み、そのアドレスを返します。ポイズニングされた gp はリターン時に task_struct.scs_sp に保存されるため、その後のすべてのエントリでもリロードはスキップされます。ハードウェア sstatus のユーザー空間から取得したことを決定します。tp からではなく SPP ビット(この時点ですでに s1 にある)を使用し、後ですでに ret_from_exception がいくつかの命令を使用しているチェックをミラーリングします。SPP は、トラップエントリでハードウェアによって書き込まれ、U モードから偽造することはできません。
    正当な動作は変更されません:ユーザーエントリ(SPP=0)はタスクシャドウコールスタックをリロードし、ネスト化されたカーネルエントリ(SPP=1)はそれをスキップします。(CVE-2026-99018)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

An update of the linux package has been released.

The remote Ubuntu 26.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-9018-1 advisory.

    Several security issues were discovered in the Linux kernel. An attacker could possibly use these to     compromise the system. This update corrects flaws in the following subsystems:

    - Network file systems library;

    - Stream parser;

    - ARM64 architecture;

    - PowerPC architecture;

    - RISC-V architecture;

    - S390 architecture;

    - User-Mode Linux (UML);

    - x86 architecture;

    - Block layer subsystem;

    - Android drivers;

    - Bluetooth drivers;

    - TPM device driver;

    - DPLL subsystem;

    - EDAC drivers;

    - GPIO subsystem;

    - GPU drivers;

    - HID subsystem;

    - IIO subsystem;

    - IIO ADC drivers;

    - InfiniBand drivers;

    - Input Device (Miscellaneous) drivers;

    - Multiple devices driver;

    - MemoryStick subsystem;

    - MMC subsystem;

    - MTD block device drivers;

    - Network drivers;

    - Ethernet bonding driver;

    - Mellanox network drivers;

    - STMicroelectronics network drivers;

    - Ethernet team driver;

    - MediaTek network drivers;

    - NVME drivers;

    - Device tree and open firmware driver;

    - Power sequencing drivers;

    - Voltage and Current Regulator drivers;

    - Real Time Clock drivers;

    - SCSI subsystem;

    - Greybus lights staging drivers;

    - Trusted Execution Environment drivers;

    - Thunderbolt and USB4 drivers;

    - TTY drivers;

    - Cadence USB3 driver;

    - USB Device Class drivers;

    - USB core drivers;

    - DesignWare USB2 driver;

    - DesignWare USB3 driver;

    - USB Gadget drivers;

    - USB Serial drivers;

    - USB Mass Storage drivers;

    - USB Type-C support driver;

    - USB Type-C Port Controller Manager driver;

    - TI TPS6598x USB Power Delivery controller driver;

    - USB Type-C Connector System Software Interface driver;

    - Amazon Nitro Enclaves driver;

    - Virtual machine generation ID driver;

    - BTRFS file system;

    - File systems infrastructure;

    - SMB network file system;

    - XFS file system;

    - BPF subsystem;

    - io_uring subsystem;

    - Netfilter;

    - Namespaces infrastructure;

    - Networking core;

    - Networking subsytem;

    - Virtio network driver;

    - Bluetooth subsystem;

    - IPv4 networking;

    - Network traffic control;

    - Audit subsystem;

    - Control group (cgroup);

    - Perf events;

    - Kernel fork() syscall;

    - Kernel futex primitives;

    - KProbes tracing;

    - Kexec HandOver (KHO);

    - Kernel module support;

    - Tracing infrastructure;

    - Workqueue subsystem;

    - Memory management;

    - Ethernet bridge;

    - Devlink API;

    - IPv6 networking;

    - MAC80211 subsystem;

    - Management Component Transport Protocol (MCTP);

    - Open vSwitch;

    - Packet sockets;

    - SCTP protocol;

    - SMC sockets;

    - TIPC protocol;

    - VMware vSockets driver;

    - Wireless networking;

    - XFRM subsystem;

    - Drivers core;

    - Key management;

    - SELinux security module;

    - ALSA framework;

    - Creative Sound Blaster X-Fi driver;

    - Analog Devices audio codecs;

    - Maxim audio codecs;

    - Realtek audio codecs;

    - QCOM ASoC drivers;

    - Samsung ASoC drivers;

    - SoundWire (SDCA) ASoC drivers;

    - USB sound devices; (CVE-2026-68305, CVE-2026-72404, CVE-2026-72497, CVE-2026-74527, CVE-2026-74568,     CVE-2026-89568, CVE-2026-89764, CVE-2026-89907, CVE-2026-90144, CVE-2026-90155, CVE-2026-90162,     CVE-2026-90167, CVE-2026-90317, CVE-2026-93175, CVE-2026-98038, CVE-2026-98375, CVE-2026-98432,     CVE-2026-98655, CVE-2026-98656, CVE-2026-98657, CVE-2026-98658, CVE-2026-98659, CVE-2026-98660,     CVE-2026-98661, CVE-2026-98662, CVE-2026-98663, CVE-2026-98664, CVE-2026-98665, CVE-2026-98666,     CVE-2026-98667, CVE-2026-98668, CVE-2026-98669, CVE-2026-98670, CVE-2026-98671, CVE-2026-98672,     CVE-2026-98673, CVE-2026-98674, CVE-2026-98675, CVE-2026-98676, CVE-2026-98677, CVE-2026-98678,     CVE-2026-98679, CVE-2026-98680, CVE-2026-98681, CVE-2026-98682, CVE-2026-98683, CVE-2026-98684,     CVE-2026-98685, CVE-2026-98686, CVE-2026-98687, CVE-2026-98689, CVE-2026-98690, CVE-2026-98691,     CVE-2026-98692, CVE-2026-98693, CVE-2026-98694, CVE-2026-98695, CVE-2026-98696, CVE-2026-98697,     CVE-2026-98698, CVE-2026-98699, CVE-2026-98700, CVE-2026-98701, CVE-2026-98702, CVE-2026-98703,     CVE-2026-98704, CVE-2026-98705, CVE-2026-98706, CVE-2026-98707, CVE-2026-98708, CVE-2026-98709,     CVE-2026-98710, CVE-2026-98711, CVE-2026-98712, CVE-2026-98713, CVE-2026-98714, CVE-2026-98715,     CVE-2026-98716, CVE-2026-98717, CVE-2026-98718, CVE-2026-98719, CVE-2026-98720, CVE-2026-98721,     CVE-2026-98722, CVE-2026-98723, CVE-2026-98724, CVE-2026-98725, CVE-2026-98726, CVE-2026-98727,     CVE-2026-98728, CVE-2026-98729, CVE-2026-98730, CVE-2026-98731, CVE-2026-98732, CVE-2026-98733,     CVE-2026-98734, CVE-2026-98735, CVE-2026-98736, CVE-2026-98737, CVE-2026-98738, CVE-2026-98739,     CVE-2026-98740, CVE-2026-98741, CVE-2026-98742, CVE-2026-98743, CVE-2026-98744, CVE-2026-98745,     CVE-2026-98746, CVE-2026-98747, CVE-2026-98748, CVE-2026-98749, CVE-2026-98750, CVE-2026-98751,     CVE-2026-98752, CVE-2026-98753, CVE-2026-98754, CVE-2026-98755, CVE-2026-98756, CVE-2026-98757,     CVE-2026-98758, CVE-2026-98759, CVE-2026-98760, CVE-2026-98761, CVE-2026-98762, CVE-2026-98763,     CVE-2026-98764, CVE-2026-98765, CVE-2026-98766, CVE-2026-98767, CVE-2026-98768, CVE-2026-98769,     CVE-2026-98770, CVE-2026-98771, CVE-2026-98772, CVE-2026-98773, CVE-2026-98774, CVE-2026-98775,     CVE-2026-98776, CVE-2026-98777, CVE-2026-98778, CVE-2026-98779, CVE-2026-98780, CVE-2026-98781,     CVE-2026-98782, CVE-2026-98783, CVE-2026-98784, CVE-2026-98785, CVE-2026-98786, CVE-2026-98788,     CVE-2026-98789, CVE-2026-98790, CVE-2026-98791, CVE-2026-98792, CVE-2026-98793, CVE-2026-98794,     CVE-2026-98795, CVE-2026-98796, CVE-2026-98797, CVE-2026-98798, CVE-2026-98799, CVE-2026-98800,     CVE-2026-98801, CVE-2026-98802, CVE-2026-98803, CVE-2026-98804, CVE-2026-98805, CVE-2026-98806,     CVE-2026-98807, CVE-2026-98808, CVE-2026-98809, CVE-2026-98810, CVE-2026-98811, CVE-2026-98812,     CVE-2026-98813, CVE-2026-98814, CVE-2026-98816, CVE-2026-98817, CVE-2026-98818, CVE-2026-98819,     CVE-2026-98820, CVE-2026-98821, CVE-2026-98822, CVE-2026-98823, CVE-2026-98824, CVE-2026-98825,     CVE-2026-98826, CVE-2026-98827, CVE-2026-98828, CVE-2026-98829, CVE-2026-98830, CVE-2026-98831,     CVE-2026-98833, CVE-2026-98834, CVE-2026-98835, CVE-2026-98836, CVE-2026-98837, CVE-2026-98838,     CVE-2026-98839, CVE-2026-98840, CVE-2026-98841, CVE-2026-98842, CVE-2026-98843, CVE-2026-98844,     CVE-2026-98845, CVE-2026-98846, CVE-2026-98847, CVE-2026-98848, CVE-2026-98849, CVE-2026-98850,     CVE-2026-98851, CVE-2026-98852, CVE-2026-98853, CVE-2026-98854, CVE-2026-98855, CVE-2026-98856,     CVE-2026-98857, CVE-2026-98858, CVE-2026-98859, CVE-2026-98860, CVE-2026-98861, CVE-2026-98862,     CVE-2026-98863, CVE-2026-98931, CVE-2026-98932, CVE-2026-98933, CVE-2026-98934, CVE-2026-98935,     CVE-2026-98936, CVE-2026-98937, CVE-2026-98939, CVE-2026-98940, CVE-2026-98944, CVE-2026-98945,     CVE-2026-98946, CVE-2026-98947, CVE-2026-98948, CVE-2026-98949, CVE-2026-98950, CVE-2026-98951,     CVE-2026-98952, CVE-2026-98953, CVE-2026-98954, CVE-2026-98955, CVE-2026-98956, CVE-2026-98957,     CVE-2026-98958, CVE-2026-98959, CVE-2026-98960, CVE-2026-98961, CVE-2026-98962, CVE-2026-98963,     CVE-2026-98964, CVE-2026-98965, CVE-2026-98966, CVE-2026-98967, CVE-2026-98968, CVE-2026-98969,     CVE-2026-98970, CVE-2026-98971, CVE-2026-98972, CVE-2026-98973, CVE-2026-98974, CVE-2026-98975,     CVE-2026-98977, CVE-2026-98978, CVE-2026-98979, CVE-2026-98980, CVE-2026-98981, CVE-2026-98982,     CVE-2026-98983, CVE-2026-98984, CVE-2026-98985, CVE-2026-98986, CVE-2026-98987, CVE-2026-98988,     CVE-2026-98989, CVE-2026-98990, CVE-2026-98991, CVE-2026-98992, CVE-2026-98993, CVE-2026-98994,     CVE-2026-98995, CVE-2026-98996, CVE-2026-98997, CVE-2026-98999, CVE-2026-99000, CVE-2026-99001,     CVE-2026-99002, CVE-2026-99003, CVE-2026-99004, CVE-2026-99005, CVE-2026-99006, CVE-2026-99007,     CVE-2026-99008, CVE-2026-99009, CVE-2026-99010, CVE-2026-99011, CVE-2026-99012, CVE-2026-99013,     CVE-2026-99014, CVE-2026-99015, CVE-2026-99016, CVE-2026-99017, CVE-2026-99018, CVE-2026-99019,     CVE-2026-99020, CVE-2026-99021, CVE-2026-99022, CVE-2026-99023, CVE-2026-99024, CVE-2026-99025,     CVE-2026-99026, CVE-2026-99027, CVE-2026-99028, CVE-2026-99029, CVE-2026-99030, CVE-2026-99031,     CVE-2026-99032, CVE-2026-99033, CVE-2026-99034, CVE-2026-99035, CVE-2026-99036, CVE-2026-99037,     CVE-2026-99038, CVE-2026-99039, CVE-2026-99040, CVE-2026-99041, CVE-2026-99043, CVE-2026-99044,     CVE-2026-99045, CVE-2026-99046, CVE-2026-99047, CVE-2026-99048, CVE-2026-99049, CVE-2026-99050,     CVE-2026-99051, CVE-2026-99052, CVE-2026-99053, CVE-2026-99054, CVE-2026-99055, CVE-2026-99056,     CVE-2026-99057, CVE-2026-99058, CVE-2026-99059, CVE-2026-99060, CVE-2026-99061, CVE-2026-99062,     CVE-2026-99063, CVE-2026-99064, CVE-2026-99065, CVE-2026-99066, CVE-2026-99067, CVE-2026-99068,     CVE-2026-99069, CVE-2026-99070, CVE-2026-99071, CVE-2026-99072, CVE-2026-99073, CVE-2026-99074,     CVE-2026-99075, CVE-2026-99076, CVE-2026-99077, CVE-2026-99078, CVE-2026-99079, CVE-2026-99080,     CVE-2026-99081, CVE-2026-99088, CVE-2026-99089, CVE-2026-99090, CVE-2026-99091, CVE-2026-99092,     CVE-2026-99093, CVE-2026-99094, CVE-2026-99095, CVE-2026-99096, CVE-2026-99097, CVE-2026-99098,     CVE-2026-99099, CVE-2026-99999)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In the Linux kernel, the following vulnerability has been resolved: riscv: entry: gate shadow call stack     reload on sstatus.SPP, not tp Under CONFIG_SHADOW_CALL_STACK, handle_exception() reloads the kernel shadow     call stack pointer (gp) only when the trap came from userspace. It made that decision with     scs_load_current_if_task_changed, which compares the trap-time tp (read back from sscratch into s5)     against the current tp: beq \prev, tp, _skip_scs scs_load_current _skip_scs: tp is a user-writable     register. A user task that sets tp to the linear-map address of its own task_struct (t) before     trapping makes the comparison succeed (can achieve by brute force with KASLR enable under our test), so     the kernel skips scs_load_current and keeps running with the gp that userspace left in place. Under     CONFIG_SHADOW_CALL_STACK gp is the shadow call stack pointer and load_global_pointer is a no-op, so the     compiler-emitted sd ra, -8(gp) / ld ra, -8(gp) in every non-leaf function then write to, and return     through, an attacker-controlled address -- an unprivileged kernel arbitrary-write and control-flow-hijack     primitive. The poisoned gp is saved to task_struct.scs_sp on return, so the reload is skipped on every     subsequent entry as well. Decide came from userspace from the hardware sstatus.SPP bit (already in s1 at     this point) instead of from tp, mirroring the check that ret_from_exception already uses a few     instructions later. SPP is written by hardware on trap entry and cannot be forged from U-mode. Legitimate     behaviour is unchanged: user entries (SPP=0) reload the task shadow call stack, nested kernel entries     (SPP=1) skip it. (CVE-2026-99018)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
372272	Linux Distros 未修补的漏洞：CVE-2026-99018	Nessus	Misc.	2026/10/27	2026/11/14	high
372272	Linux Distros 未修補弱點：CVE-2026-99018	Nessus	Misc.	2026/10/27	2026/11/14	high
372272	Linux Distros のパッチ未適用の脆弱性: CVE-2026-99018	Nessus	Misc.	2026/10/27	2026/11/14	high
375086	Photon OS 5.0: Linux PHSA-2026-5.0-92-1044	Nessus	PhotonOS Local Security Checks	2026/11/2	2026/11/2	critical
381339	Ubuntu 26.04 LTS : Linux kernel vulnerabilities (USN-9018-1)	Nessus	Ubuntu Local Security Checks	2026/11/14	2026/11/14	critical
372272	Linux Distros Unpatched Vulnerability : CVE-2026-99018	Nessus	Misc.	2026/10/27	2026/11/14	high

偵測

搜尋 Plugin

high

high

high

critical

critical

high