Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 及2.25.3之前版本中，Apache Log4j Core 的 XmlLayout https://logging.apache.org/log4j/2.x/manual/layouts.html#XmlLayout 无法审查 XML 1.0 规范https://www.w3.org/TR/xml/#charsets禁止的字符，从而在日志消息或 MDC 值包含此类字符时生成无效的 XML 输出。影响取决于所使用的 StAX 实现：* JRE 内置 StAX：
    禁止的字符静默写入输出，从而生成畸形 XML。符合要求的解析器必须拒绝此类存在致命错误的文档，这可造成下游日志处理系统丢弃受影响的记录。* 替代 StAX 实现（例如 Jackson XML Dataformat 模块的可传递依赖项 Woodstox https://github.com/FasterXML/woodstox）：日志记录调用期间会抛出异常，日志事件永远不会传递到其预期的附加组件，而只会传递到 Log4j 的内部状态记录器。建议用户升级到 Apache Log4j Core 2.25.4，其通过在 XML 输出前审查禁止字符来修正此问题。（CVE-2026-34480）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-34480

medium Nessus 插件 ID 306043

版本 1.9