Linux Distros 未修补的漏洞：CVE-2026-24765
high Nessus 插件 ID 297036
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- PHPUnit 是 PHP 的测试框架。在低于 12.5.8、 11.5.50、 10.5.62、 9.6.33和 8.5.52 的版本中发现了一个漏洞该漏洞涉及 PHPT 测试执行中不安全的代码覆盖率数据反序列化。“cleanupForCoverage()”方法中存在该漏洞未经验证即反序列化代码覆盖范围文件如果在执行 PHPT 测试之前存在恶意的“.coverage”文件可能允许远程执行代码。在执行测试之前不应存在的“.coverage”文件在缺少“allowed_classes”参数限制的情况下反序列化时会出现此漏洞。具有本地文件写入访问权限的攻击者可将采用“__wakeup()”方法的恶意序列化对象放置到文件系统中进而导致在启用了代码覆盖范围检测的测试运行期间执行任意代码。此漏洞需要对 PHPUnit 存储的位置的本地文件写入访问权限或预期用于 PHPT 测试的代码覆盖范围文件。这可通过 CI/CD 管道攻击、本地开发环境和/或受损依存关系来发生。维护者并未通过“['allowed_classes' => false]”静默地审查输入而是选择通过将 PHPT 测试中预先存在的“.coverage”文件处理为错误条件来明确异常状态。从 版本 12.5.8、 11.5.50、 10.5.62、 9.6.33中开始如果在执行之前检测到用于 PHPT 测试的“.coverage”文件PHPUnit 将发出一条明确的错误消息来标识异常状态。
组织可以通过正确的 CI/CD 配置降低此漏洞的实际风险，包括临时运行程序、代码审查强制执行、分支保护、构件隔离和访问控制。 (CVE-2026-24765)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: High
ID: 297036
文件名: unpatched_CVE_2026_24765.nasl
版本: 1.4
类型: local
代理: unix
系列: Misc.
发布时间: 2026/1/28
最近更新时间: 2026/2/6
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Medium
基本分数: 4.4
时间分数: 3.7
矢量: CVSS2#AV:L/AC:M/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2026-24765
CVSS v3
风险因素: High
基本分数: 7.8
时间分数: 7.1
矢量: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.10, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:debian:debian_linux:phpunit, p-cpe:/a:canonical:ubuntu_linux:phpunit, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0
必需的 KB 项: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/1/27
参考资料信息
CVE: CVE-2026-24765