行動裝置上執行的 Apple iOS 版本為 18.7.7 之前的版本。因此會受到多個弱點影響。

行動裝置上執行的 Apple iOS 版本為 26.4 之前的版本。因此會受到多個弱點影響。

遠端 Ubuntu 24.04 LTS / 25.10 / 26.04 LTS 主機上安裝的多個套件受到 USN-8237-1 公告中提及的多個弱點影響。

    在 WebKitGTK+ Web 和 JavaScript 引擎中發現多個安全性問題。如果使用者遭到誘騙而檢視惡意網站，遠端攻擊者可利用多個與網頁瀏覽器安全性相關的問題，包括跨網站指令碼攻擊、拒絕服務攻擊和任意程式碼執行等。

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 webkitgtk4 版本比 2.52.1-1 舊。因此，它會受到 ALAS2-2026-3270 公告中所提及的多個弱點影響。

    已透過改進記憶體處理解決記憶體初始化問題。已在 tvOS 26.2, Safari 26.2, watchOS 26.2, visionOS 26.2, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2 中修正此問題。處理惡意的特製 Web 內容時可能會洩漏應用程式的內部狀態。(CVE-2025-46299)

    - 已透過改善輸入驗證解決 Navigation API 中的跨來源問題。已在 iOS, iPadOS, and macOS, Safari 26.4, iOS 18.7.7 and iPadOS 18.7.7, iOS 26.4 and iPadOS 26.4, macOS Tahoe 26.4, visionOS 26.4 背景安全改經中修復此問題。處理惡意特製的 Web 內容可能會繞過同源原則。(CVE-2026-20643)

    已透過改進記憶體處理解決此問題。已在 Safari 26.4, iOS 26.4 and iPadOS 26.4, macOS Tahoe 26.4, visionOS 26.4 中修復此問題。處理惡意特製的 Web 內容可能導致處理程序意外損毀。(CVE-2026-20664)

    此問題已透過改進狀態管理解決。已在 Safari 26.4, iOS 18.7.7 and iPadOS 18.7.7, iOS 26.4 and iPadOS 26.4, macOS Tahoe 26.4, tvOS 26.4, visionOS 26.4, watchOS 26.4 中修復此問題。
    處理惡意建構的 Web 內容可能導致內容安全性原則無法強制執行。
    (CVE-2026-20665)

    已透過改進狀態管理解決了身分驗證問題。已在 Safari 26.4, iOS 26.4 and iPadOS 26.4, macOS Tahoe 26.4, visionOS 26.4, watchOS 26.4 中修復此問題。惡意特製的網頁可能會識別使用者。(CVE-2026-20691)

    已透過改進記憶體處理解決此問題。已在 Safari 26.4, iOS 26.4 and iPadOS 26.4, macOS Tahoe 26.4, visionOS 26.4 中修復此問題。處理惡意特製的 Web 內容可能導致處理程序意外損毀。(CVE-2026-28857)

    已透過改進記憶體處理解決此問題。已在 Safari 26.4, iOS 26.4 and iPadOS 26.4, macOS Tahoe 26.4, tvOS 26.4, visionOS 26.4, watchOS 26.4 中修復此問題。一個惡意網站可能會在沙箱之外處理受限制的 Web 內容。(CVE-2026-28859)

    已透過改進狀態管理解決邏輯問題。已在 Safari 26.4、iOS 18.7.7 和 iPadOS 18.7.7、iOS 26.4 和 iPadOS 26.4、macOS Tahoe 26.4、visionOS 26.4 中修復此問題。一個惡意網站可能會存取預定用於其他來源的指令碼訊息處置程式。(CVE-2026-28861)

    已透過改進檢查解決邏輯問題。已在 Safari 26.4、iOS 18.7.7 和 iPadOS 18.7.7、iOS 26.4 和 iPadOS 26.4、macOS Tahoe 26.4 中修復此問題。造訪惡意特製的網站，可能會導致跨網站指令碼攻擊。(CVE-2026-28871)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機執行的 macOS/Mac OS X 版本為 26.4 之前的 26.x 版。因此，會受到多個弱點影響：

  - 啟用伺服器端包含 (SSI) 且具有 mod_cgid (但不是 mod_cgi) 的 Apache HTTP Server 2.4.65 和更舊版本會將 shell 逸出的查詢字串傳遞至 #exec cmd=... 指示詞。此問題會影響 Apache HTTP Server 2.4.66 之前版本。建議使用者升級至 2.4.66 版，即可修正此問題。
    (CVE-2025-58098)

  - 當 OAuth2 持有人權杖用於執行跨通訊協定重新導向至使用 IMAP、LDAP、POP3 或 SMTP 之第二 URL 的 HTTP(S) 傳輸時，curl 可能會錯誤將權杖傳遞至新的目標主機。(CVE-2025-14524)

  - 在 ACME 憑證續約失敗的情況下，經過一定次數若失敗嘗試 (在預設組態下為約 30 天) 之後，會發生整數溢位問題，導致遞補計時器變成 0。然後，系統會無延遲地重複嘗試執行憑證續約，直到成功為止。此問題會影響 Apache HTTP Server 2.4.30 至 2.4.66 版本。建議使用者升級至 2.4.66 版，即可修正此問題。(CVE-2025-55753)

  - 在 Windows 主機上的 Apache HTTP Server 如果設定 AllowEncodedSlashes On 與 MergeSlashes Off，會產生伺服器端要求僞造 (SSRF) 弱點。攻擊者可利用 SSRF 和惡意要求或內容，將 NTLM 雜湊洩漏給惡意伺服器。建議使用者升級至 2.4.66 版，以修正此問題。
    (CVE-2025-59775)

  - LIBPNG 是讀取、建立及操控 PNG (可攜式網路圖形) 點陣影像檔案的應用程式中使用的參照程式庫。1.6.51 之前版本在處理含有格式錯誤的調色盤索引的 PNG 檔案時，libpng 的 png_do_quantize 函式中會產生堆積緩衝區過度讀取弱點。如果未針對外部提供的影像資料驗證 palette_lookup 陣列邊界，就會發生此弱點，攻擊者可製作含有超出範圍的調色盤索引的特製 PNG 檔案，觸發超出邊界記憶體存取。此問題已在 1.6.51 版中修正。(CVE-2025-64505)

請注意，Nessus 並未測試這些問題，而是僅依據作業系統自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 已透過改進狀態管理解決一個邏輯問題。此問題已在 Safari 26.4、iOS 18.7.7 和 iPadOS 18.7.7、iOS 26.4 和 iPadOS 26.4、macOS Tahoe 26.4、visionOS 26.4中修正。惡意網站可能能夠存取預定用於其他來源的指令碼訊息處置程式。 (CVE-2026-28861)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Debian 13 主機上安裝的多個套件受到 dsa-6232 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------------------- Debian 安全公告 DSA-6232-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2026 年 4 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：webkit2gtk CVE ID：CVE-2025-46299 CVE-2026-20643 CVE-2026-20664 CVE-2026-20665 CVE-2026-20691 CVE-2026-28857 CVE-2026-28859 CVE-2026-28861 CVE-2026-28871

    在 WebKitGTK Web 引擎中發現下列弱點：

    CVE-2025-46299

        Google Big Sleep 發現，處理惡意的特製 Web 內容時可能會洩漏應用程式的內部狀態。

    CVE-2026-20643

        Thomas Espach 發現，處理惡意特製的 Web 內容可能會繞過同源原則。

    CVE-2026-20664

        Daniel Rhea、Soehnke Benedikt Fischedick、Emrovsky & Switch 和 Yevhen Pervushyn 發現，處理惡意特製的 Web 內容可能會導致預期外的處理程序損毀。

    CVE-2026-20665

        webb 發現，處理惡意特製的 Web 內容可能會使內容安全性原則無法執行。

    CVE-2026-20691

        Gongyu Ma 發現，惡意特製的網頁可能會識別使用者。

    CVE-2026-28857

        Narcis Oliveras Fontas、Soehnke Benedikt Fischedick、Daniel Rhea 和 Nathaniel Oh 發現，處理惡意特製的 Web 內容可能會導致預期外的處理程序損毀。

    CVE-2026-28859

        greenbynox 和 Arni Hardarson 發現，一個惡意網站可能會在沙箱之外處理受限制的 Web 內容。

    CVE-2026-28861

        Hongze Wu 和 Shuaike Dong 發現，一個惡意網站可能會存取預定用於其他來源的指令碼訊息處置程式。

    CVE-2026-28871

        @hamayanhamayan 發現，造訪惡意特製的網站可能會導致跨網站指令碼攻擊。

    從 2.52.0 版開始，無法再將 WebKitGTK 反向移植至舊的穩定發行版本 (bookwarm)。因此，bookworm 的安全性支援不再涵蓋 webkit2gtk 套件。

    針對穩定的發行版本 (trixie)，已在第 2.52.1-1~deb13u1 版中修復這些問題。

    建議您升級 webkit2gtk 套件。

    如需有關 webkit2gtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
303480	Apple iOS < 18.7.7 多個弱點 (126793)	Nessus	Mobile Devices	2026/3/24	2026/4/30	high
303482	Apple iOS < 26.4 多個弱點 (126792)	Nessus	Mobile Devices	2026/3/24	2026/4/30	high
313208	Ubuntu 24.04 LTS / 25.10 / 26.04 LTS：WebKitGTK 弱點 (USN-8237-1)	Nessus	Ubuntu Local Security Checks	2026/5/8	2026/5/8	medium
311208	Amazon Linux 2：webkitgtk4、--advisory ALAS2-2026-3270 (ALAS-2026-3270)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	medium
303481	macOS 26.x < 26.4 多個弱點 (126794)	Nessus	MacOS X Local Security Checks	2026/3/24	2026/3/27	high
304095	Linux Distros 未修補的弱點：CVE-2026-28861	Nessus	Misc.	2026/3/28	2026/5/7	medium
310721	Debian dsa-6232：gir1.2-javascriptcoregtk-4.1 - 安全性更新	Nessus	Debian Local Security Checks	2026/4/28	2026/4/28	medium

偵測

搜尋 Plugin

high

high

medium

medium

high

medium

medium