Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：idpf: fix read_dev_clk_lock spinlock init in idpf_ptp_init() In idpf_ptp_init(), read_dev_clk_lock is initialized after ptp_schedule_worker() had already been called (and after idpf_ptp_settime64() could reach the lock). The PTP aux worker fires immediately upon scheduling and can call into idpf_ptp_read_src_clk_reg_direct(), which takes spin_lock(&ptp->read_dev_clk_lock) on an uninitialized lock, triggering the lockdep non-static key warning: [12973.796587] idpf 0000:83:00.0: Device HW Reset initiated [12974.094507] INFO: trying to register non-static key. ... [12974.097208] Call Trace: [12974.097213] <TASK> [12974.097218] dump_stack_lvl+0x93/0xe0 [12974.097234] register_lock_class+0x4c4/0x4e0 [12974.097249] ?
    __lock_acquire+0x427/0x2290 [12974.097259] __lock_acquire+0x98/0x2290 [12974.097272] lock_acquire+0xc6/0x310 [12974.097281] ? idpf_ptp_read_src_clk_reg+0xb7/0x150 [idpf] [12974.097311] ? lockdep_hardirqs_on_prepare+0xde/0x190 [12974.097318] ? finish_task_switch.isra.0+0xd2/0x350 [12974.097330] ? __pfx_ptp_aux_kworker+0x10/0x10 [ptp] [12974.097343] _raw_spin_lock+0x30/0x40 [12974.097353] ? idpf_ptp_read_src_clk_reg+0xb7/0x150 [idpf] [12974.097373] idpf_ptp_read_src_clk_reg+0xb7/0x150 [idpf] [12974.097391] ? kthread_worker_fn+0x88/0x3d0 [12974.097404] ? kthread_worker_fn+0x4e/0x3d0 [12974.097411] idpf_ptp_update_cached_phctime+0x26/0x120 [idpf] [12974.097428] ? _raw_spin_unlock_irq+0x28/0x50 [12974.097436] idpf_ptp_do_aux_work+0x15/0x20 [idpf] [12974.097454] ptp_aux_kworker+0x20/0x40 [ptp] [12974.097464] kthread_worker_fn+0xd5/0x3d0 [12974.097474] ? __pfx_kthread_worker_fn+0x10/0x10 [12974.097482] kthread+0xf4/0x130 [12974.097489] ?
    __pfx_kthread+0x10/0x10 [12974.097498] ret_from_fork+0x32c/0x410 [12974.097512] ? __pfx_kthread+0x10/0x10 [12974.097519] ret_from_fork_asm+0x1a/0x30 [12974.097540] </TASK> Move the call to spin_lock_init() up a bit to make sure read_dev_clk_lock is not touched before it's been initialized. (CVE-2026-64162)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：ASoC: rsnd: Fix potential out-of-bounds access of component_dais[] component_dais[RSND_MAX_COMPONENT] is initially zero-initialized and later populated in rsnd_dai_of_node(). However, the existing boundary check: if (i >= RSND_MAX_COMPONENT) does not guarantee that the last valid element remains zero. As a result, the loop can rely on component_dais[RSND_MAX_COMPONENT] being zero, which may lead to an out-of-bounds access. Found by Linux Verification Center (linuxtesting.org) with SVACE. (CVE-2026-63838)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipv6：修复 fib6_select_path（） 中可能的无限循环。在审计 Sashiko 在 rt6_fill_node（） [1] 中报告的相同模式时发现。应用与提交 f8d8ce1b515a 相同的补丁（ipv6：修复 fib6_info_uses_dev（）） 中可能的无限循环）。持有 tb6_lock 的写入器可以在不等待 RCU 读取器的情况下list_del_rcu（&first->fib6_siblings）;first->fib6_siblings.next 随后仍指向旧环，并且这个 softirq-side walker 永远不会到达 &first->fib6_siblings 作为其终结器。fib6_purge_rt（） 总是在 list_del_rcu（） 之前先>fib6_nsiblings WRITE_ONCE（） 到 0，因此内部循环检查是可靠的分离信号。[1] https://sashiko.dev/#/patchset/20260526020227.4857-1-jiayuan.chen%40linux.dev （CVE-2026-63968）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mptcp：计算 rcv_wnd 时关闭 TOCTOU 争用 MPTCP 输出路径多次无锁访问 MPTCP 级ack_seq，其可能针对 DSS 选项中的data_ack使用不同的值，并计算同一个数据包的公告 rcv wnd。重构 cote 以避免可能使对等机混淆的不一致。还确保仅当出口数据包实际包含 DSS ack 时才更新 MPTCP 级别 rcv wnd。（CVE-2026-63867）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：drm/amdgpu/jpeg: set no_user_fence for JPEG v5.3.0 ring JPEG rings do not support 64-bit user fence writes, reject CS submissions with user fences. (cherry picked from commit 86ac011ae234c03fb872f4945913391ea1d8862e) (CVE-2026-63840)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - batman-adv：tt：修复负 last_changeset_len batadv_piv_tt：：last_changeset_len len 声明为 s16，但该字段从未打算包含负值。当分配大于 32767 的值时，该值将封装为负有符号的整数。在 batadv_send_my_tt_response（） 中，last_changeset_len暂时扩大到 s32。错误的负值 s16 会传播到 s32，进而造成 batadv_tt_prepare_tvlv_local_data（） 分配完整大小的缓冲区，但收集的变更集仅填充其中的一小部分。所有剩余位保持未初始化。使用 u16 可避免这种类型混淆并确保不会在 batadv_send_my_tt_response（） 中执行任何（负）符号扩展。
    (CVE-2026-64089)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - blk-cgroup：修复 __blkcg_rstat_flush（） 中的 UAF 当同时释放同一 blkcg 中的多个 blkgs 时，可能会发生释放后使用。一个 blkg 的 __blkcg_rstat_flush（） 通过 llist_del_all（） 删除另一个 blkg 的 iostat 条目时会发生争用。第二个 blkg 看到一个空列表并继续释放自己，而第一个 blkg 仍在迭代其条目。将刷新从 __blkg_release（）（RCU 回调）移至 blkg_release（）（在call_rcu之前）。这可确保 RCU 宽限期等待任何并发刷新的 rcu_read_lock（） 部分完成后再释放。（CVE-2026-63802）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - f2fs：修复 __destroy_extent_node（） 中不正确的FI_NO_EXTENT处理 __destroy_extent_node（） 将 inode 标记设置为 FI_NO_EXTENT 时，不会将最大盘区的长度重置为 0，也不会更新 inode 作品集。由于之后不允许修改盘区树，缓存的最大盘区可能会过时。这可在 xfstests generic/388 中触发以下错误：F2FS-fs （dm-0）：
    sanity_check_extent_cache：inode （ino=1761） extent info [220057， 57， 6] 不正确，运行 fsck 修复 在f2fs_drop_inode路径中，__destroy_extent_node（） 不需要保证 et->node_cnt 为 0，因为在此路径中预期与回写并发，而回写可能会更新盘区缓存。
    此修补程序会恢复提交 ed78aeebef05（f2fs：修复node_cnt区节点破坏和回写之间的争用），并删除 et->node_cnt 不必要的零检查。（CVE-2026-63812）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：l2cap：ECRED 重新配置成功时清除 chan->ident l2cap_ecred_reconf_rsp（） 在不清除 chan->ident 的情况下提早返回成功。其他每个 L2CAP 响应处理程序（l2cap_ecred_conn_rsp、l2cap_le_connect_rsp l2cap_config_rsp）都会在成功的事务后清除 chan->ident，以防止通道将后续响应与回收的 ident 值进行匹配。以对等机身份完成重新配置的远程攻击者可使用过时 ident 重播失败响应，进而造成内核通过 l2cap_chan_del（chan、ECONNRESET） 匹配并破坏已建立的通道。成功时清除所有匹配通道的 chan->ident，并使用与其他 L2CAP 处理程序（l2cap_le_command_rej、__l2cap_get_chan_by_ident）一致的 l2cap_chan_hold_unless_zero（） 强化失败路径。（CVE-2026-63976）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：spi: mtk-snfi: unregister ECC engine on probe failure and remove() callback mtk_snand_probe() registers the on-host NAND ECC engine, but teardown was missing from both probe unwind and remove-time cleanup. Add a devm cleanup action after successful registration so nand_ecc_unregister_on_host_hw_engine() runs automatically on probe failures and during device removal. (CVE-2026-63861)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：dma-mapping: move dma_map_resource() sanity check into debug code dma_map_resource() uses pfn_valid() to ensure the range is not RAM. However, pfn_valid() only checks for availability of the memory map for a PFN but it does not ensure that the PFN is actually backed by RAM. On ARM64 with SPARSEMEM (128MB section granularity), MMIO addresses that share a section with RAM will falsely trigger the WARN_ON_ONCE and cause dma_map_resource() to return DMA_MAPPING_ERROR. This causes a WARNING on Raspberry Pi 4 during spi_bcm2835 probe because the SPI FIFO register (0xfe204004) falls in the same sparsemem section as the end of RAM (0xf8000000-0xfbffffff), both in section 31 (0xf8000000-0xffffffff). Move the sanity check from dma_map_resource() into debug_dma_map_phys() and replace the unreliable pfn_valid() with pfn_valid() && !PageReserved(), which correctly identifies actual usable RAM without false positives for MMIO regions that happen to have struct pages. Since dma_map_resource() is dma_map_phys(DMA_ATTR_MMIO), the check applies equally to both APIs.
    Any non-reserved page represents kernel memory to a sufficient degree that using DMA_ATTR_MMIO on it is almost certainly wrong and risks breaking coherency on non-coherent platforms. ZONE_DEVICE pages used for PCI P2P DMA (MEMORY_DEVICE_PCI_P2PDMA) have PageReserved set, so they will not trigger a false positive.
    The check no longer blocks the mapping and uses err_printk() to integrate with dma-debug filtering.
    (CVE-2026-64149)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：drm/amdgpu/jpeg: set no_user_fence for JPEG v5.0.1 ring JPEG rings do not support 64-bit user fence writes, reject CS submissions with user fences. (cherry picked from commit 742a98e2e81702df8fe1b1eccee5223220a03dc2) (CVE-2026-63841)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ksmbd：拒绝复合请求分支中的无效会话 smb2_check_user_session（） 针对复合请求中非第一个操作的任何操作采取快捷方式：它重用 work->sess（由第一个操作绑定的会话）并仅验证 SessionId，然后返回 valid。它永远不会重新检查 work->sess->state == SMB2_SESSION_VALID，0xFFFFFFFFFFFFFFFF 的 SessionId（ULLONG_MAX MS-SMB2 相关操作值）甚至会跳过 id 比较。独立路径（ksmbd_session_lookup_all（） 加上 SESSION_SETUP 状态机）确实强制执行 VALID 状态;复合分支绕过了所有内容。仅携带 NTLM Type-1 （NtLmNegotiate） blob 的新SESSION_SETUP SMB2_SESSION_IN_PROGRESS发布新会话，其 sess->user 仍为空（稍后通过 ntlm_authenticate（） 分配 ->user）。用作操作 2 = TREE_CONNECT（相关，SessionId=ULLONG_MAX、\\host\IPC$）的 COMPOUND 的操作 1，树连接然后在该IN_PROGRESS会话上运行并到达 ksmbd_ipc_tree_connect_request（），这将取消引用 user_name（sess->user） 和 sess->user == NULL （transport_ipc.c：687/701/704） -> 远程空指针取消引用和插入所有客户端的 ksmbd 工作线程的内核 Oops。拒绝登陆未SMB2_SESSION_VALID的会话上的任何非第一个复合操作，以反映独立查找路径强制执行的有效性。SESSION_SETUP 本身会在IN_PROGRESS会话上合法运行，但绝不会作为非首次复合操作进行，因此多段认证不受此检查影响。（CVE-2026-53383）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 rpcbind 的 rpcinfo 实用工具中发现基于堆栈的缓冲区溢出。当使用“rpcinfo -l”查询远程 rpcbind 服务时，服务器返回的地址信息会复制到固定大小的缓冲区，而未进行充分的边界检查。恶意或已被破坏的 rpcbind 服务器可利用此缺陷造成 rpcinfo 客户端崩溃，从而导致拒绝服务。此漏洞最大的威胁在于系统可用性。(CVE-2026-16277)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：net: mana: Fix TOCTOU double-fetch of hwc_msg_id from DMA buffer In mana_hwc_rx_event_handler(), resp->response.hwc_msg_id is read from DMA-coherent memory and bounds-checked, then mana_hwc_handle_resp() re-reads the same field from the same DMA buffer for test_bit() and pointer arithmetic. DMA-coherent memory is mapped uncacheable on x86 and is shared, unencrypted, in Confidential VMs (SEV-SNP/TDX), so each load goes directly to host-visible memory.
    A H/W can modify the value between the check and the use, bypassing the bounds validation. Fix this by reading hwc_msg_id exactly once using READ_ONCE() into a stack-local variable in mana_hwc_rx_event_handler(), and passing the validated value as a parameter to mana_hwc_handle_resp().
    (CVE-2026-64034)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：nvme-pci: fix dma_vecs leak on p2p memory We don't unmap P2P memory, so we don't need to track it. The dma_vec allocation was getting leaked on the completion. (CVE-2026-64020)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：fwctl: pds: Validate RPC input size before parsing The fwctl core allocates the device-specific RPC input buffer with fwctl_rpc.in_len and passes that buffer to the driver callback. pdsfc_fw_rpc() casts the buffer to struct fwctl_rpc_pds and then calls pdsfc_validate_rpc(), which reads fields from that structure before checking that the input buffer is large enough to contain it. A short in_len can make pds_fwctl read beyond the allocation. Reject pds RPC buffers that are smaller than struct fwctl_rpc_pds before parsing any pds-specific fields.
    (CVE-2026-64101)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：accel/rocket: fix UAF via dangling GEM handle in create_bo rocket_ioctl_create_bo() inserts a GEM handle into the file's IDR via drm_gem_handle_create() early on, then performs several operations that can fail (sgt allocation, drm_mm insert, iommu_map). If any fail after the handle is live, the error path calls drm_gem_shmem_object_free() which kfree's the object without removing the handle from the IDR. This leaves a dangling handle pointing to freed slab memory. Any subsequent ioctl using that handle (PREP_BO, FINI_BO, SUBMIT) calls drm_gem_object_lookup() and dereferences freed memory (UAF). Fix by moving drm_gem_handle_create() to after all fallible operations succeed, matching the pattern used by panfrost, lima, and etnaviv. Also fix drm_mm_insert_node_generic() whose return value was silently overwritten by iommu_map_sgtable() on the next line. Add the missing error check. [tomeu: Move handle creation to the very end] (CVE-2026-64008)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：drm/colorop: Fix blob property reference tracking in state lifecycle The colorop state blob property handling had memory leaks during state duplication, destruction, and reset operations. The implementation failed to follow the established pattern from drm_crtc's handling of DEGAMMA/GAMMA blob properties. Issues fixed: - drm_colorop_atomic_destroy_state() was freeing state memory without releasing the blob reference, causing a leak - drm_colorop_reset() was directly freeing old state with kfree() instead of properly destroying it, leaking blob references - drm_colorop_cleanup() had duplicate blob cleanup code Changes: - Add
    __drm_atomic_helper_colorop_destroy_state() helper to properly release blob references before freeing state memory - Update drm_colorop_atomic_destroy_state() to call the helper - Fix drm_colorop_reset() to use drm_colorop_atomic_destroy_state() for proper cleanup of old state - Simplify drm_colorop_cleanup() to use the common destruction path This matches the well-tested pattern used by drm_crtc since 2016 and ensures proper reference counting throughout the state lifecycle. Co-developed by Claude Sonnet 4.5.
    (CVE-2026-53378)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - udf：拒绝 CRC 长度过大的描述符 udf_read_tagged（） 在 descCRCLength + sizeof（struct 标签） 超过区块大小时跳过 CRC 验证。构建的 UDF 图像可将 descCRCLength 设置为超大值以完全绕过 CRC 验证;然后仅根据可轻易重写的 8 位标签校验和接受该描述符。拒绝此类描述符，而非静默接受它们。合法的单区块描述符的 CRC 长度不应超过区块。
    (CVE-2026-53369)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：ksmbd: close durable scavenger races against m_fp_list lookups ksmbd_durable_scavenger() has two related races against any walker that iterates f_ci->m_fp_list, including ksmbd_lookup_fd_inode() (used by ksmbd_vfs_rename) and the share-mode checks in fs/smb/server/smb_common.c. (1) fp->node list-head reuse. Durable-preserved handles can remain linked on f_ci->m_fp_list after session teardown so share-mode checks still see them while the handle is reconnectable. The scavenger collected expired handles by adding fp->node to a local scavenger_list after removing them from the global durable idr. Because fp->node is the same list_head used by m_fp_list, list_add(&fp->node, &scavenger_list) overwrites the m_fp_list links and corrupts both lists.
    CONFIG_DEBUG_LIST can report this on the share-mode walk path. (2) Refcount race against m_fp_list walkers. The scavenger qualifies an expired durable handle with atomic_read(&fp->refcount) > 1 and fp->conn under global_ft.lock, removes fp from global_ft, then drops global_ft.lock before unlinking fp from m_fp_list and freeing it. During that gap fp is still linked on m_fp_list with f_state == FP_INITED.
    ksmbd_lookup_fd_inode() under m_lock read calls ksmbd_fp_get() (atomic_inc_not_zero on refcount that is still 1) and takes a live reference; the scavenger then unlinks and frees fp while the holder owns a reference, leading to UAF on the holder's subsequent ksmbd_fd_put() and on any field reads performed by a concurrent share-mode walker that iterates m_fp_list without taking ksmbd_fp_get() (smb_check_perm_dleases-like paths). Fix both: * Stop reusing fp->node as a scavenger-private list node.
    Remove one expired handle from global_ft under global_ft.lock, take an explicit transient reference, drop the lock, unlink fp->node from m_fp_list under f_ci->m_lock, then drop both the durable lifetime and transient references with atomic_sub_and_test(2, &fp->refcount). If the scavenger is the last putter the close runs there; otherwise an in-flight holder that already raced through the m_fp_list lookup owns the final close via its ksmbd_fd_put() path. The one-at-a-time disposal can rescan the durable idr when multiple handles expire in the same pass, but durable scavenging is a background expiration path and the final full scan recomputes min_timeout before the next wait. * Clear fp->persistent_id inside
    __ksmbd_remove_durable_fd() right after idr_remove(), so a delayed final close from a holder that snatched fp does not re-issue idr_remove() on a persistent id that idr_alloc_cyclic() in ksmbd_open_durable_fd() may have already handed out to a brand-new durable handle. * Bypass the per-conn open_files_count decrement in __put_fd_final() when fp is detached from any session table (fp->conn cleared by session_fd_check() at durable preserve -- paired with the volatile_id clear at unpublish, so checking fp->conn alone is sufficient). The walker that owns the final close runs from an unrelated work->conn whose stats.open_files_count never tracked this durable fp; without this guard the holder would underflow that unrelated counter. The two races are folded into one patch because patch (1) alone cleans up the corrupted list but leaves a deterministic UAF window for m_fp_list walkers that the transient-reference and persistent_id discipline in (2) close; bisecting onto an intermediate state would land on a UAF that pre-patch chaos merely made less reproducible. Validation: * CONFIG_DEBUG_LIST coverage for the list_head reuse path. * KASAN-enabled direct SMB2 durable-handle coverage that exercised ksmbd_durable_scavenger() and non-NULL ksmbd_lookup_fd_inode() returns while durable handles expired under concurrent rename lookups, with no KASAN, UAF, list-corruption, ODEBUG, or WARNING reports. ---truncated--- (CVE-2026-64142)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 影响：从 through 的 4.1.0 fast-uri 版本（包括 3.x line up to 3.1.3 和 2.x line up 2.4.2to ）不2.3.1将文本反斜线字符 （U+005C） 视为颁发机构分隔符。Node 的本机 WHATWG URL 解析器（供 fetch、undici 以及 Node 的 http 和 https 客户端使用）将特殊方案（例如 http、https、ws、wss、ftp 和 file）规范化为正斜线。结果，两个解析器从同一个输入字符串提取不同的主机。在将相同的 URL 传递到 Node 的 URL 或获取消费者之前，使用快速 URI 执行基于主机的策略（例如允许列表、拒绝列表、环回或 SSRF 过滤、重定向验证或出站代理路由）的应用程序可能会被引导至非预期的目的地，包括云元数据端点、环回或内部主机。修补程序：升级到 fast-uri 4.1.1、 3.1.4或 2.4.3。变通方案：无。（CVE-2026-16221）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：Bluetooth: L2CAP: ecred_reconfigure:
    send packed pdu, not stack pointer Commit 1c08108f3014 (Bluetooth: L2CAP: Avoid -Wflex-array-member-not-at-end warnings) converted the on-stack request PDU in l2cap_ecred_reconfigure() from an explicit packed struct to DEFINE_RAW_FLEX(), but did not adjust the size and source-pointer arguments to l2cap_send_cmd():
    - struct { - struct l2cap_ecred_reconf_req req; - __le16 scid; - } pdu; + DEFINE_RAW_FLEX(struct l2cap_ecred_reconf_req, pdu, scid, 1); ... l2cap_send_cmd(conn, chan->ident, L2CAP_ECRED_RECONF_REQ, sizeof(pdu), &pdu); After the conversion, DEFINE_RAW_FLEX() expands to declare an anonymous union pdu_u plus a local pointer pdu pointing at it. Therefore: - sizeof(pdu) is now sizeof(struct l2cap_ecred_reconf_req *) = 8 on 64-bit (4 on 32-bit), not the 6 bytes of (mtu, mps, scid[1]). - &pdu is the address of the local pointer's stack storage, not the address of the request payload. l2cap_send_cmd() forwards (data, count) to l2cap_build_cmd(), which calls skb_put_data(skb, data, count). The L2CAP_ECRED_RECONFIGURE_REQ packet body therefore contains 8 bytes copied from the kernel stack starting at &pdu -- the 8 bytes overlap the pdu pointer's value, leaking a kernel stack address to the paired Bluetooth peer. The intended (mtu, mps, scid) fields are not transmitted at all, so the peer rejects the request as malformed and the L2CAP_ECRED_RECONFIGURE feature itself has been broken for the local-side initiator since the introducing commit landed. The sibling site l2cap_ecred_conn_req() in the same commit was converted correctly (sizeof(*pdu) + len, pdu); only this site was missed. Restore the original semantics: pass the full flex-struct size via struct_size(pdu, scid, 1) and the pdu pointer (the struct address) as the source. Validated on a stock 7.0-based host kernel via the real call path:
    setsockopt(SOL_BLUETOOTH, BT_RCVMTU, ...) on a BT_CONNECTED L2CAP_MODE_EXT_FLOWCTL socket emits an L2CAP_ECRED_RECONFIGURE_REQ whose body is 8 bytes (the on-stack pdu local's value) rather than the expected 6. Three captures from fresh socket / fresh hciemu peer on the same host -- low bytes vary per call, high 0xffff confirms a kernel virtual address (KASLR-randomised stack slot, not a fixed string):
    RECONF_REQ body (ident=0x02 len=8): 42 fb 54 af 0e ca ff ff RECONF_REQ body (ident=0x02 len=8): 52 3d 2e af 0e ca ff ff RECONF_REQ body (ident=0x02 len=8): b2 fc 5b af 0e ca ff ff After this patch the body is 6 bytes carrying the expected little-endian (mtu, mps, scid). (CVE-2026-64127)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：afs: Fix the locking used by afs_get_link() The afs filesystem in the kernel doesn't do locking correctly for symbolic links. There are a number of problems: (1) It doesn't do any locking around afs_read_single() to prevent races between multiple ->get_link() calls, thereby allowing the possibility of leaks. (2) It doesn't use RCU barriering when accessing the buffer pointers during RCU pathwalk. (3) It can race with another thread updating the contents of the symlink if a third party updated it on the server. Fix this by the following means: (0) Move symlink handling into its own file as this makes it more complicated. (1) Take the validate_lock around afs_read_single() to prevent races between multiple ->get_link() calls. (2) Keep a separate copy of the symlink contents with an rcu_head. This is always going to be a lot smaller than a page, so it can be kmalloc'd and save quite a bit of memory. It also needs a refcount for non-RCU pathwalk. (3) Split the symlink read and write-to-cache routines in afs from those for directories. (4) Discard the I/O buffer as soon as the write-to-cache completes as this is a full page (plus a folio_queue). (5) If there's no cache, discard the I/O buffer immediately after reading and copying if there is no cache. (CVE-2026-64057)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：netfs: fix VM_BUG_ON_FOLIO() issue in netfs_write_begin() call The multiple runs of generic/013 test-case is capable to reproduce a kernel BUG at mm/filemap.c:1504 with probability of 30%. while true; do sudo ./check generic/013 done [ 9849.452376] page: refcount:3 mapcount:0 mapping:00000000e58ff252 index:0x10781 pfn:0x1c322 [ 9849.452412] memcg:ffff8881a1915800 [ 9849.452417] aops:ceph_aops ino:1000058db9e dentry name(?):f9XXXXXX [9849.452432] flags: 0x17ffffc0000000(node=0|zone=2|lastcpupid=0x1fffff) [ 9849.452441] raw:
    0017ffffc0000000 0000000000000000 dead000000000122 ffff88816110d248 [ 9849.452445] raw: 0000000000010781 0000000000000000 00000003ffffffff ffff8881a1915800 [ 9849.452447] page dumped because:
    VM_BUG_ON_FOLIO(!folio_test_locked(folio)) [ 9849.452474] ------------[ cut here ]------------ [9849.452476] kernel BUG at mm/filemap.c:1504! [ 9849.478635] Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI [ 9849.481772] CPU: 2 UID: 0 PID: 84223 Comm: fsstress Not tainted 7.0.0-rc1+ #18 PREEMPT(full) [9849.482881] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-9.fc43 06/1 0/2025 [9849.484539] RIP: 0010:folio_unlock+0x85/0xa0 [ 9849.485076] Code: 89 df 31 f6 e8 1c f3 ff ff 48 8b 5d f8 c9 31 c0 31 d2 31 f6 31 ff c3 cc cc cc cc 48 c7 c6 80 6c d9 a7 48 89 df e8 4b b3 10 00 <0f> 0b 48 89 df e8 21 e6 2c 00 eb 9d 0f 1f 40 00 66 66 2e 0f 1f 84 [ 9849.493818] RSP: 0018:ffff8881bb8076b0 EFLAGS: 00010246 [ 9849.495740] RAX: 0000000000000000 RBX: ffffea00070c8980 RCX: 0000000000000000 [ 9849.498678] RDX:
    0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 [ 9849.500559] RBP: ffff8881bb8076b8 R08:
    0000000000000000 R09: 0000000000000000 [ 9849.501097] R10: 0000000000000000 R11: 0000000000000000 R12:
    0000000010782000 [ 9849.502108] R13: ffff8881935de738 R14: ffff88816110d010 R15: 0000000000001000 [9849.502516] FS: 00007e36cbe94740(0000) GS:ffff88824a899000(0000) knlGS:0000000000000000 [ 9849.502996] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 9849.503810] CR2: 000000c0002b0000 CR3:
    000000011bbf6004 CR4: 0000000000772ef0 [ 9849.504459] PKRU: 55555554 [ 9849.504626] Call Trace: [9849.505242] <TASK> [ 9849.505379] netfs_write_begin+0x7c8/0x10a0 [ 9849.505877] ?
    __kasan_check_read+0x11/0x20 [ 9849.506384] ? __pfx_netfs_write_begin+0x10/0x10 [ 9849.507178] ceph_write_begin+0x8c/0x1c0 [ 9849.507934] generic_perform_write+0x391/0x8f0 [ 9849.508503] ?
    __pfx_generic_perform_write+0x10/0x10 [ 9849.509062] ? file_update_time_flags+0x19a/0x4b0 [ 9849.509581] ? ceph_get_caps+0x63/0xf0 [ 9849.510259] ? ceph_get_caps+0x63/0xf0 [ 9849.510530] ceph_write_iter+0xe79/0x1ae0 [ 9849.511282] ? __pfx_ceph_write_iter+0x10/0x10 [ 9849.511839] ? lock_acquire+0x1ad/0x310 [ 9849.512334] ? ksys_write+0xf9/0x230 [ 9849.512582] ? lock_is_held_type+0xaa/0x140 [ 9849.513128] vfs_write+0x512/0x1110 [ 9849.513634] ?
    __fget_files+0x33/0x350 [ 9849.513893] ? __pfx_vfs_write+0x10/0x10 [ 9849.514143] ? mutex_lock_nested+0x1b/0x30 [ 9849.514394] ksys_write+0xf9/0x230 [ 9849.514621] ?
    __pfx_ksys_write+0x10/0x10 [ 9849.514887] ? do_syscall_64+0x25e/0x1520 [ 9849.515122] ?
    __kasan_check_read+0x11/0x20 [ 9849.515366] ? trace_hardirqs_on_prepare+0x178/0x1c0 [ 9849.515655]
    __x64_sys_write+0x72/0xd0 [ 9849.515885] ? trace_hardirqs_on+0x24/0x1c0 [ 9849.516130] x64_sys_call+0x22f/0x2390 [ 9849.516341] do_syscall_64+0x12b/0x1520 [ 9849.516545] ? do_syscall_64+0x27c/0x1520 [ 9849.516783] ? do_syscall_64+0x27c/0x1520 [ 9849.517003] ? lock_release+0x318/0x480 [ 9849.517220] ? __x64_sys_io_getevents+0x143/0x2d0 [ 9849.517479] ? percpu_ref_put_many.constprop.0+0x8f/0x210 [ 9849.517779] ? entry_SYSCALL_64_after_hwframe+0x76/0x7e [9849.518073] ? do_syscall_64+0x25e/0x1520 [ 9849.518291] ? __kasan_check_read+0x11/0x20 [ 9849.518519] ? trace_hardirqs_on_prepare+0x178/0x1c0 [ 9849.518799] ? do_syscall_64+0x27c/0x1520 [ 9 ---truncated--- (CVE-2026-64065)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：iommu/vt-d: Block PASID attachment to nested domain with dirty tracking Kernel lacks dirty tracking support on nested domain attached to PASID, fails the attachment early if nesting parent domain is dirty tracking configured, otherwise dirty pages would be lost. (CVE-2026-53372)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Dancer2 及之前 2.1.0 的 Perl 版本在所需的 CSPRNG 模块不可用时生成不安全的会话 ID。Dancer2：：Core：：Role：：SessionFactory：：generate_id 静默回退到内置的 rand 派生会话 id，除非 Math：：Random：：ISAAC：：XS 和 Crypt：：URandom 都可用。回退会话 ID 由对内置 rand 函数的调用的 SHA-1 哈希、Dancer2：：Core：：Role：：SessionFactory 模块的绝对路径、内部计数器、进程 ID、模块实例内存地址和随机的字符串（使用 List：：Util：：shuffle 函数，该函数也使用内置的 rand 函数）生成。这些都是低熵且易于猜测的来源。内置的 rand（） 函数以 32 位格式植入，被认为不适合用于安全应用程序。可预测的会话 ID 可允许攻击者获取系统的访问权限。（CVE-2026-13577）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：smb: client: protect tc_count increment in smb2_find_smb_sess_tcon_unlocked() Commit 96c4af418586 (cifs: Fix locking usage for tcon fields) refactored cifs code to change cifs_tcp_ses_lock for tc_lock around tc_count changes. There was missing lock around tc_count increment inside smb2_find_smb_sess_tcon_unlocked(). (CVE-2026-64136)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：ASoC: codecs: fs210x: fix possible buffer overflow In fs210x_effect_scene_info(), a string was copied like this: strscpy(DST, SRC, strlen(SRC) + 1); A buffer overflow would happen if strlen(SRC) >= sizeof(DST). Actually, strscpy() must be used this way: strscpy(DST, SRC, sizeof(DST)); strscpy(DST, SRC); // defaults to sizeof(DST) (CVE-2026-64041)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipv6：ioam：为 ipv6_hop_ioam（） 中的 idev 添加 NULL 检查 由 Sashiko 报告： 函数 ipv6_hop_ioam（） 访问 __in6_dev_get（skb->dev）->cnf.ioam6_enabled 但未验证返回的 idev 指针。由于 addrconf_ifdown（） 可通过 RCU 并发清除 dev->ip6_ptr，__in6_dev_get（） 可在接口拆卸期间返回 NULL，这可在处理 IOAM 逐跃点选项时造成空指针取消引用。让我们添加一个检查并相应地使用SKB_DROP_REASON_IPV6DISABLED。（CVE-2026-64116）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Crypt：:P assword 及之前的 Perl 版本会为 0.28 salt 生成不安全的随机值。这些版本使用内置的 rand 函数，该函数具有可预测性，不适用于加密。（CVE-2026-16235）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：bnep：修复 dev->name 的 UAF 读取bnep_add_connection（） 需要在读取 dev->name 的同时保持bnep_session_sem（就像 bnep_get_connlist（） 一样）;否则 bnep_session（） 线程可并发释放net_device，例如可由并发 bnep_del_connection（） 触发。（从安全角度来看，此 UAF 相当无趣;调用 bnep_add_connection（） 需要通过 capable（CAP_NET_ADMIN） 检查。它还需要在相当紧张的争用窗口期间完全拆卸 netdev。（CVE-2026-64178）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - GLib 的“GDBus”组件中存在拒绝服务和资源耗尽漏洞。“gdbusauth”认证机制无法对从客户端读取的数据行实施适当的长度限制。未经身份验证的本地或远程攻击者可利用缺少输入验证的问题，通过发送过长的数据流造成应用程序消耗大量系统内存和 CPU，可能导致崩溃或系统挂起。（CVE-2026-15588）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net：hsr：延迟节点表释放，直至 RCU 读取器 HSR node-list 和 node-status generic-netlink 操作在 rcu_read_lock（） 下运行为止。它们遍历 hsr_get_next_node（） 和 hsr_get_node_data（） 的 hsr->node_db，但RTM_DELLINK拆卸将删除含有普通 list_del（） 的同一节点表并立即释放每个节点。这可让通用 netlink 阅读器跨 hsr_dellink（） 保持结构hsr_node指针。在 KASAN 版本中，在 hsr_get_next_node（） 获得节点后加宽阅读器窗口会在阅读器复制节点>macaddress_A时重现释放后使用板;释放的堆栈是来自 hsr_dellink（） 的 hsr_del_nodes（）。使用 list_del_rcu（） 并通过现有的 hsr_free_node_rcu（） 回调延迟释放。这与 HSR 修剪路径使用的生命周期规则相匹配，其中已经删除了具有 list_del_rcu（） 和 call_rcu（） 的节点。（CVE-2026-64123）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：ksmbd: fix null pointer dereference in compare_guid_key() session_fd_check() walks the per-inode m_op_list during durable-handle session teardown and sets op->conn = NULL for every opinfo whose conn matched the closing session's connection. The matching opinfo, however, stays linked in its per-ClientGuid lease_table_list entry's lb->lease_list because destroy_lease_table() only runs on full TCP-connection teardown, not on SESSION_LOGOFF. If the same TCP connection then negotiates a fresh session with the same ClientGuid (ClientGuid is bound to NEGOTIATE, not the session, and is unchanged across LOGOFF + SETUP) and issues a SMB2 CREATE with a lease context on a different inode, find_same_lease_key() walks lb->lease_list, reaches the stale opinfo, and calls compare_guid_key(), which unconditionally dereferences opinfo->conn->ClientGUID. The conn pointer is NULL and the kernel panics. Reproducer requires only a successful SMB2 SESSION_SETUP and a share configured with 'durable handles = yes'. KASAN report on mainline 70390501d194: general protection fault, probably for non-canonical address 0xdffffc0000000069: 0000 [#1] SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000348-0x000000000000034f] Workqueue: ksmbd-io handle_ksmbd_work RIP:
    0010:bcmp+0x5b/0x230 Call Trace: compare_guid_key+0x4b/0xd0 find_same_lease_key+0x324/0x690 smb2_open+0x6aea/0x8e60 handle_ksmbd_work+0x796/0xee0 ... Faulting address 0x348 is the offset of ClientGUID within struct ksmbd_conn, confirming opinfo->conn was NULL. Read opinfo->conn once and bail out if it has been cleared by a concurrent session_fd_check(). A half-detached opinfo cannot be the owner of an active lease, so returning 0 is the correct match result. (CVE-2026-64141)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：accel/qaic: Add overflow check to remap_pfn_range during mmap The call to remap_pfn_range in qaic_gem_object_mmap is susceptible to (re)mapping beyond the VMA if the BO is too large. This can cause use after free issues when munmap() unmaps only the VMA region and not the additional mappings. To prevent this, check the remaining size of the VMA before remapping and truncate the remapped length if sg->length is too large. [jhugo: fix braces from checkpatch --strict] (CVE-2026-64051)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 QEMU 客户机代理 （qga） 中发现一个缺陷。本地非特权用户可通过操纵符号链接来利用命令处理程序中的 guest-ssh-add-authorized-keys 漏洞。这可通过确定性的目录符号链接绕过或检查时间至使用时间 （TOCTOU） 文件符号链接争用来发生。成功利用可允许攻击者获取任意根所有权文件或目录的所有权，从而导致根访问权限。此漏洞要求外部管理层（如 libvirt）来触发受影响的代码路径。（CVE-2026-12080）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：nvme-pci: fix use-after-free in nvme_free_host_mem() nvme_free_host_mem() frees dev->hmb_sgt via dma_free_noncontiguous() but never clears the pointer afterward. This leads to a use-after-free if nvme_free_host_mem() is called twice in the same error path. This can happen during nvme_probe() when nvme_setup_host_mem() succeeds in allocating the HMB (setting dev->hmb_sgt) but nvme_set_host_mem() fails with an I/O error: nvme_setup_host_mem() nvme_alloc_host_mem_single() -> sets dev->hmb_sgt nvme_set_host_mem() -> fails with -EIO nvme_free_host_mem() -> frees hmb_sgt, but does NOT NULL it return error nvme_probe() error path:
    nvme_free_host_mem() -> dev->hmb_sgt is stale, use-after-free The second call dereferences the freed sgt, causing a NULL pointer dereference in iommu_dma_free_noncontiguous() when it accesses sgt->sgl->dma_address (the backing memory has been freed and zeroed). This is reproducible on Thunderbolt-attached NVMe devices (e.g., OWC Envoy Express behind a Dell WD22TB4 dock) where the device intermittently returns I/O errors during HMB setup due to PCIe link instability. BUG: kernel NULL pointer dereference, address: 0000000000000010 RIP: 0010:iommu_dma_free_noncontiguous+0x22/0x80 Call Trace: <TASK> dma_free_noncontiguous+0x3b/0x130 nvme_free_host_mem+0x30/0xf0 [nvme] nvme_probe.cold+0xcc/0x275 [nvme] local_pci_probe+0x43/0xa0 pci_device_probe+0xeea/0x290 really_probe+0xf9/0x3b0
    __driver_probe_device+0x8b/0x170 driver_probe_device+0x24/0xd0 __driver_attach_async_helper+0x6b/0x110 async_run_entry_fn+0x37/0x170 process_one_work+0x1ac/0x3d0 worker_thread+0x1b8/0x360 kthread+0xf7/0x130 ret_from_fork+0x2d8/0x3a0 ret_from_fork_asm+0x1a/0x30 </TASK> Fix this by setting dev->hmb_sgt to NULL after freeing it, so the second call takes the multi-descriptor path which safely handles the already-cleaned-up state. (CVE-2026-64071)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - spi：qup：修复 DMA 设置失败后的错误指针取消引用 如果探测期间 DMA 设置失败，驱动程序会回退到 PIO 模式。确保清除设置失败时的 DMA 通道指针，以避免在后续探测错误或驱动程序取消绑定时取消引用错误指针（或尝试再次释放通道）。Sashiko 在查看 devres 分配转换修补程序时标记了此问题。
    (CVE-2026-64170)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：wifi: wilc1000: fix dma_buffer leak on bus acquire failure wilc_wlan_firmware_download() allocates dma_buffer with kmalloc() at the top of the function and uses a 'fail:' label to free it via kfree(dma_buffer) on error. All later error paths correctly use 'goto fail' to route through this cleanup. However, the early failure path after the first acquire_bus() call uses a bare 'return ret;', which leaks dma_buffer whenever the bus acquire fails.
    Replace the early return with goto fail so the existing cleanup path runs. Found via a custom Coccinelle semantic patch hunting for kmalloc'd locals leaked on early-return error paths in driver firmware-download code. (CVE-2026-64145)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：Bluetooth: ISO: drop ISO_END frames received without prior ISO_START ISO data PDUs carry a packet-boundary flag indicating START, CONT, END or SINGLE. The ISO_CONT branch of iso_recv() guards against a missing ISO_START by checking conn->rx_len before touching conn->rx_skb, but ISO_END does not. If a peer sends an ISO_END as the first packet on a fresh ISO connection, conn->rx_skb is still NULL and conn->rx_len is zero, so skb_put(conn->rx_skb, ...) dereferences NULL and oopses. For BIS, where receivers sync to a broadcaster without pairing, any broadcaster on the air can trigger this. Mirror the ISO_CONT check at the top of ISO_END so a stray end fragment is logged and dropped instead of crashing the host. (CVE-2026-64128)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bluetooth：MGMT：验证 Add Extended Advertising Data 长度 MGMT_OP_ADD_EXT_ADV_DATA 是否注册为变量长度命令，MGMT_ADD_EXT_ADV_DATA_SIZE 作为固定标头大小。然后，处理程序使用 cp->adv_data_len 和 cp->scan_rsp_len 验证并复制 cp->data，但从不检查这些字节是否属于 mgmt 命令负载的一部分。因此，简短命令即可使 add_ext_adv_data（） 将越界指针传递到 tlv_data_is_valid（） 中。如果超出命令缓冲区的字节可寻址，则还可以将其作为扫描响应数据复制到公告实例中，调用者可以通过MGMT_OP_GET_ADV_INSTANCE来读取这些数据。触发器要求初始用户命名空间中的CAP_NET_ADMIN;KASAN 报告 8 字节 slab-越界读取。解析 cp->data 之前，拒绝其长度不符合固定标头加上公告数据长度的命令。（CVE-2026-64126）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：net: shaper: reject duplicate leaves in GROUP request net_shaper_nl_group_doit() does not deduplicate NET_SHAPER_A_LEAVES entries. When userspace supplies the same leaf handle twice, the same old-parent pointer lands twice in old_nodes[]. The cleanup loop double frees the parent. Of course the same parent may still be in old_nodes[] twice if we are moving multiple of its leaves. Note that this patch also implicitly fixes the fact that the i >= leaves_count path forgets to set ret. (CVE-2026-64054)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：net: ifb: report ethtool stats over num_tx_queues ifb_dev_init() allocates dp->tx_private to dev->num_tx_queues entries via kzalloc_objs(*txp, dev->num_tx_queues). Both IFB per-queue RX and TX stats live in those entries: ifb_xmit() updates txp->rx_stats using the skb queue mapping, ifb_ri_tasklet() updates txp->tx_stats, and ifb_stats64() aggregates both over dev->num_tx_queues. The ethtool stats callbacks instead size and walk the per-queue stats with dev->real_num_rx_queues and dev->real_num_tx_queues. With an asymmetric device where the RX queue count exceeds the TX queue count, for example: ip link add name ifb10 numtxqueues 1 numrxqueues 8 type ifb ethtool -S ifb10 ifb_get_ethtool_stats() indexes past the tx_private allocation and copies adjacent slab data through ETHTOOL_GSTATS. Use dev->num_tx_queues consistently for the stats strings, the stats count, and the stats data walks. This reports one RX stats group and one TX stats group for each backing ifb_q_private entry, which is the queue set IFB can actually populate. Reproduced under UML+KASAN at v7.1-rc2: BUG: KASAN: slab-out-of-bounds in ifb_fill_stats_data+0x3c/0xae Read of size 8 at addr 0000000062dbd228 by task ethtool/36 ifb_fill_stats_data+0x3c/0xae ifb_get_ethtool_stats+0xc0/0x129
    __dev_ethtool+0x1ca5/0x363c dev_ethtool+0x123/0x1b3 dev_ioctl+0x56c/0x744 sock_do_ioctl+0x15f/0x1b2 sock_ioctl+0x4d5/0x50a sys_ioctl+0xd8b/0xde9 With the patch applied, the same UML+KASAN repro is silent and ethtool -S ifb10 reports only the stats backed by the single allocated tx_private entry.
    (CVE-2026-64121)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：netfs: Fix potential deadlock in write-through mode Fix netfs_advance_writethrough() to always unlock the supplied folio and to mark it dirty if it isn't yet written to the end. Unfortunately, it can't be marked for writeback until the folio is done with as that may cause a deadlock against mmapped reads and writes. Even though it has been marked dirty, premature writeback can't occur as the caller is holding both inode->i_rwsem (which will prevent concurrent truncation, fallocation, DIO and other writes) and ictx->wb_lock (which will cause flushing to wait and writeback to skip or wait). Note that this may be easier to deal with once the queuing of folios is split from the generation of subrequests. (CVE-2026-64062)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：net: ethtool: fix NULL pointer dereference in phy_reply_size In phy_prepare_data(), several strings such as 'name', 'drvname', 'upstream_sfp_name', and 'downstream_sfp_name' are allocated using kstrdup(). However, these allocations were not checked for failure. If kstrdup() fails for 'name', it returns NULL while the function continues.
    This leads to a kernel NULL pointer dereference and panic later in phy_reply_size() when it unconditionally calls strlen() on the NULL pointer. While other strings like 'upstream_sfp_name' might be checked before access in certain code paths, failing to handle these allocations consistently can lead to incomplete data reporting or hidden bugs. Fix this by adding proper NULL checks for all kstrdup() calls in phy_prepare_data() and implement a centralized error handling path using goto labels to ensure all previously allocated resources are freed on failure. (CVE-2026-64120)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：netfs: Fix partial invalidation of streaming-write folio In netfs_invalidate_folio(), if the region of a partial invalidation overlaps the front (but not all) of a dirty write cached in a streaming write page (dirty, but not uptodate, with the dirty region tracked by a netfs_folio struct), the function modifies the dirty region - but incorrectly as it moves the region forward by setting the start to the start, not the end, of the invalidation region.
    Fix this by setting finfo->dirty_offset to the end of the invalidation region (iend). (CVE-2026-64157)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - wifi：cfg80211：cfg80211_merge_profile（） 中的高级循环变量 cfg80211_merge_profile（） 重组已拆分到多个连续 MBSSID 元素的 Multi-BSSID 未传输 BSS 配置文件。
    它的 while-loop 调用 cfg80211_get_profile_continuation（即 ielen、mbssid_elem、sub_elem），但从不在正文内部mbssid_elem或sub_elem。因此，每次迭代都会搜索遵循同一固定对的延续;帮助程序返回相同的next_mbssid;相同的next_sub字节会以越来越大的偏移量 memcpy（） 输入到 merged_ie 中，直到缓冲区填满。将 mbssid_elem 和 sub_elem 推进到刚刚使用的延续，以便下一次调用 cfg80211_get_profile_continuation（） 时会搜索超出它的进一步延续（或在不存在时返回 NULL）。特制的恶意信标可利用此缺陷导致内核在cfg80211_merge_profile中花费过多时间（每个收到的信标最多花费 2 毫秒），理论上此问题可能会受到某些滥用。（CVE-2026-64174）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已修复 Linux 内核中的下列漏洞：ipv6: ioam: refresh hdr pointer before ioam6_event() Reported by Sashiko: In ipv6_hop_ioam(), the hdr pointer is initialized to point into the skb's linear data buffer. Later, the code calls skb_ensure_writable(), which might reallocate the buffer:
    if (skb_ensure_writable(skb, optoff + 2 + hdr->opt_len)) goto drop; /* Trace pointer may have changed */ trace = (struct ioam6_trace_hdr *)(skb_network_header(skb) + optoff + sizeof(*hdr));
    ioam6_fill_trace_data(skb, ns, trace, true); ioam6_event(IOAM6_EVENT_TRACE, dev_net(skb->dev), GFP_ATOMIC, (void *)trace, hdr->opt_len - 2); If the skb is cloned or lacks sufficient linear headroom, skb_ensure_writable() will invoke pskb_expand_head(), which reallocates the skb's data buffer and frees the old one, invalidating pointers to it. While the code recalculates the trace pointer immediately after the call to skb_ensure_writable(), it fails to recalculate the hdr pointer. This patch fixes the above by recalculating the hdr pointer before passing hdr->opt_len to ioam6_event(), so that we avoid any UaF.
    (CVE-2026-64132)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - qed：修复 qed_cxt_tables_alloc（） 中的双重释放 如果其中一个较新的 PF 或 VF CID 位图分配失败，qed_cid_map_alloc（） 会跳至cid_map_fail并释放先前分配的 CID 位图，然后再返回错误。qed_cxt_tables_alloc（） 接着调用 qed_cxt_mngr_free（），后者会再次调用 qed_cid_map_free（）。
    通过在 bitmap_free（） 之后将每个 CID 位图指针设置为空来修复此问题，以避免双重释放。我们正在开发的用于内核内存管理缺陷的实验性分析工具在分析 v6.13-rc1 时，首先标记此缺陷。该工具仍在开发中，尚未公开可用。手动检查确认 v7.1-rc3 中仍然存在该缺陷。未尝试运行时重现，因为执行失败的分配路径需要设备特定的设置。（CVE-2026-64118）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
328070	Linux Distros 未修补的漏洞：CVE-2026-64162	critical
328069	Linux Distros 未修补的漏洞：CVE-2026-63838	high
328068	Linux Distros 未修补的漏洞：CVE-2026-63968	high
328067	Linux Distros 未修补的漏洞：CVE-2026-63867	high
328066	Linux Distros 未修补的漏洞：CVE-2026-63840	high
328065	Linux Distros 未修补的漏洞：CVE-2026-64089	critical
328064	Linux Distros 未修补的漏洞：CVE-2026-63802	high
328063	Linux Distros 未修补的漏洞：CVE-2026-63812	high
328062	Linux Distros 未修补的漏洞：CVE-2026-63976	high
328061	Linux Distros 未修补的漏洞：CVE-2026-63861	medium
328060	Linux Distros 未修补的漏洞：CVE-2026-64149	medium
328059	Linux Distros 未修补的漏洞：CVE-2026-63841	high
328058	Linux Distros 未修补的漏洞：CVE-2026-53383	high
328057	Linux Distros 未修补的漏洞：CVE-2026-16277	medium
328056	Linux Distros 未修补的漏洞：CVE-2026-64034	critical
328055	Linux Distros 未修补的漏洞：CVE-2026-64020	high
328054	Linux Distros 未修补的漏洞：CVE-2026-64101	medium
328053	Linux Distros 未修补的漏洞：CVE-2026-64008	high
328052	Linux Distros 未修补的漏洞：CVE-2026-53378	medium
328051	Linux Distros 未修补的漏洞：CVE-2026-53369	high
328050	Linux Distros 未修补的漏洞：CVE-2026-64142	critical
328008	Linux Distros 未修补的漏洞：CVE-2026-16221	high
328007	Linux Distros 未修补的漏洞：CVE-2026-64127	medium
328006	Linux Distros 未修补的漏洞：CVE-2026-64057	high
328005	Linux Distros 未修补的漏洞：CVE-2026-64065	medium
328004	Linux Distros 未修补的漏洞：CVE-2026-53372	medium
328003	Linux Distros 未修补的漏洞：CVE-2026-13577	high
328002	Linux Distros 未修补的漏洞：CVE-2026-64136	critical
328001	Linux Distros 未修补的漏洞：CVE-2026-64041	high
328000	Linux Distros 未修补的漏洞：CVE-2026-64116	high
327999	Linux Distros 未修补的漏洞：CVE-2026-16235	critical
327998	Linux Distros 未修补的漏洞：CVE-2026-64178	high
327997	Linux Distros 未修补的漏洞：CVE-2026-15588	medium
327996	Linux Distros 未修补的漏洞：CVE-2026-64123	high
327995	Linux Distros 未修补的漏洞：CVE-2026-64141	high
327994	Linux Distros 未修补的漏洞：CVE-2026-64051	high
327993	Linux Distros 未修补的漏洞：CVE-2026-12080	high
327992	Linux Distros 未修补的漏洞：CVE-2026-64071	high
327991	Linux Distros 未修补的漏洞：CVE-2026-64170	medium
327990	Linux Distros 未修补的漏洞：CVE-2026-64145	high
327989	Linux Distros 未修补的漏洞：CVE-2026-64128	medium
327988	Linux Distros 未修补的漏洞：CVE-2026-64126	high
327987	Linux Distros 未修补的漏洞：CVE-2026-64054	high
327986	Linux Distros 未修补的漏洞：CVE-2026-64121	high
327985	Linux Distros 未修补的漏洞：CVE-2026-64062	medium
327984	Linux Distros 未修补的漏洞：CVE-2026-64120	medium
327983	Linux Distros 未修补的漏洞：CVE-2026-64157	medium
327982	Linux Distros 未修补的漏洞：CVE-2026-64174	medium
327981	Linux Distros 未修补的漏洞：CVE-2026-64132	critical
327980	Linux Distros 未修补的漏洞：CVE-2026-64118	high

检测

Nessus 的 Misc. 系列

critical

high

high

high

high

critical

high

high

high

medium

medium

high

high

medium

critical

high

medium

high

medium

high

critical

high

medium

high

medium

medium

high

critical

high

high

critical

high

medium

high

high

high

high

high

medium

high

medium

high

high

high

medium

medium

medium

medium

critical

high