Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm：修复使用PAGE_FLIP_EVENT时发出信号时发出信号时的drm_crtc_commit泄漏 提交 1c6ceeee6ebb （drm/atomic：
    修复非阻塞提交期间 ERESTARTSYS 上的内存泄露）修复了 drm_atomic_helper_setup_commit（） 自己分配事件时非常相似的问题。但是，如果事件在 prepare_signaling（） 中分配，也会在 complete_signaling（） 中设置为 NULL，从而阻止drm_crtc_commit放入 __drm_atomic_helper_crtc_destroy_state（） 中。在 complete_signaling（） 将事件设置为 NULL 时丢弃引用可修复泄漏。可以通过使用 DRM_MODE_PAGE_FLIP_EVENT 向线程发送信号并使用sw_sync隔离造成原子 ioctl 在 drm_atomic_helper_wait_for_fences（） 阻断来重现泄漏。amdgpu 和 vkms 都会发生这种情况。（CVE-2026-89816）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：绑定 rsp_info_len 以避免 OOB 感知数据读取 在 qla2x00_status_entry（） 中，FWI2 状态路径通过 rsp_info_len 向前推进sense_data并缩小par_sense_len： if （IS_FWI2_CAPABLE（ha）） { sense_data += rsp_info_len; par_sense_len -= rsp_info_len; } rsp_info_len 是直接取自目标 FCP 响应的 32 位值 （sf.rsp_data_len）， 而 par_sense_len 是 IOCB 数据区域大小（24xx 为 28 字节，29xx 为 60 字节）。恶意或有缺陷的目标报告大于 par_sense_len 的rsp_info_len会使无符号减法下溢到一个巨大的值，并sense_data前进越界。然后，下溢的par_sense_len会破坏 qla2x00_handle_sense（） 中的上限：if （sense_len > par_sense_len） sense_len = par_sense_len;memcpy（cp->sense_buffer、sense_data、sense_len）;因此，memcpy 会从越界sense_data指针读取多达 SCSI_SENSE_BUFFERSIZE 个字节，将相邻的 response-ring/堆内存泄露到命令的感应缓冲区。在减法之前rsp_info_len钳制par_sense_len，这样par_sense_len就不会下溢，并且sense_data停留在 IOCB 数据区域内。该补丁位于 comp_status 交换机之前，涵盖两个 qla2x00_handle_sense（） 调用站点。（CVE-2026-89846）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - power：supply：ab8500_fg：修复删除时的释放后使用 ab8500_fg_remove（） 会在仍布防线程中断处理程序时破坏驱动程序工作队列;它们由 devm 管理，并仅在释放后释放
    ->remove（） 返回，因此在该窗口中触发的处理程序会在已释放的工作队列上工作。转而通过 devm 去除工作队列，在电源供应之后和中断请求之前注册其清理。然后，devm 首先释放中断，以便处理程序无法再排队工作，然后再禁用延迟的普通工作项并破坏工作队列。禁用项目（而不是取消它们）会使它们保持禁用状态，因此任何生产者（包括电源external_power_changed回调）都无法将它们重新排队。由内部静态分析工具发现。（CVE-2026-89797）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Debian Linux - network-manager-sstp - 无 Ubuntu Linux - [配置文件数据到达根 pppd pty shell] （CVE-2026-91838）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - KVM：arm64：正确处理 VA 空间结尾 TLBI 无效 我们通过 VA 代码确认 TLB 无效是基于比较两个范围，一个由 TLB 定义，另一个由 TLBI 指令定义。每个范围都由起始点和大小定义。但是，完成比较的方式不考虑地址滚动，因为它将地址与 （基本 + 大小） 进行比较。这很有效，直到此表达式表示 TTBR1 VA 空间中的最后一页/块，因为结果是一个大胖 0。以及失败的 TLB 无效。
    以不受地址滚动影响的方式重写比较（使最终地址具有包容性，而非独占性），并将其移动到 VA 和 IPA 无效使用的通用辅助函数，如 Hyunwoo Kim 所建议的那样（尽管 IPA 版本显然没有受到此特定问题的影响）。（CVE-2026-89918）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/pagemap：修复作品集分配回退和放置后使用drm_pagemap_migrate_populate_ram_pfn（） 在使用高阶作品集填充 RAM PFN 时存在两个问题：1. 高阶 vma_alloc_folio（）/folio_alloc（） 调用未传递__GFP_NOWARN，因此内存压力下的 THP 分配失败会向内核日志发送垃圾信息，并且尽管有 TODO 注释说明需要回退路径，但没有回退路径。将__GFP_NOWARN添加到高阶分配，并在失败时回退到失败的高阶分配最初覆盖的整个范围的 order-0 分配，而使这些 PFN 的MIGRATE_PFN_COMPOUND未设置。2.在free_pages错误路径中，顺序是通过 folio_order（page_folio（page）） *after* put_page（page） 已经丢弃引用来计算的，导致当该引用是页面上的最后一个引用时，出现释放后使用/放置。在释放页面之前计算顺序。
    在 1. 中引入回退。也需要以不同的方式构建传递给 ->copy_to_ram（） 的源页面数组。两个调用方仅填充每个源作品集头部的条目，依靠复制回调从匹配drm_pagemap_addr中记录的顺序派生作品集的其余部分。一旦目标降级为 order-0 作品集，drm_pagemap_addr条目是每页的，因此每个条目都需要一个源页;将它们保留为空会使复制回调在第一页之后停止，并且永远不会复制范围的其余部分。源作品集只会在之后按 migrate_vma_pages（） / migrate_device_pages（） 拆分，因此不能使用其顺序来检测降级 - 请改为测试目标以查找MIGRATE_PFN_COMPOUND降级。将数组人口分解到 drm_pagemap_migrate_populate_src_pages（） 中，并从 drm_pagemap_evict_to_ram（） 和
    __drm_pagemap_migrate_to_ram（）。（CVE-2026-89805）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - powerpc/kexec_file：防止 kexec 范围截断 Sashiko AI review 指出了以下问题。这
    __merge_memory_ranges（） 函数在合并重叠内存范围时未正确处理重叠内存范围。尽管 sort_memory_ranges（） 事先按起始地址按升序对所有范围进行排序，但合并逻辑在两个方面仍然存在缺陷：1. 它将当前范围的开始与前一个元素 （i-1） 而不是运行目标索引 （idx） 进行比较 2.它会无条件地以“ranges[i].end”覆盖“ranges[idx].end”。较大的内存范围完全包含后续较小的范围时，此逻辑缺陷会导致危急内存截断。例如，考虑一个具有三个范围的排序输入数组： 范围 A （idx=0）： [0x1000 - 0x9000] 范围 B （i=1）： [0x2000 - 0x5000]（完全在范围 A 内） 范围 C （i=2）：
    [0x6000 - 0x8000]（完全在范围 A 内）1. 当 i=1 （范围 B） 时：ranges[1].start （0x2000） <= ranges[0].end + 1 （0x9001） 为 TRUE。代码执行：ranges[0].end = ranges[1].end，这错误地将范围 A 的结尾从 0x9000 缩小到 0x5000。2. 当 i=2 （范围 C） 时：ranges[2].start （0x6000） <= ranges[1].end + 1 （0x5001） 为 FALSE。代码落入 else 区块，创建了一个被破坏的新范围。因此，有效的内存片段 [0x5001 - 0x5fff] 和 [0x8001 - 0x9000] 从 kexec 排除列表中完全丢失，可能允许崩溃内核覆盖活动内存，从而导致数据损坏或崩溃。通过确保将当前范围的开头与活动合并范围 （idx） 的结尾进行对比来修复此问题，并使用 max（） 安全地防止截断外部边界。
    (CVE-2026-89962)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - KVM：s390：零初始化 inject_pfault_token __kvm_inject_pfault_token（） 的数据结构仅设置堆栈上结构kvm_s390_irq的 .type 和 .u.ext.ext_params2，但完整的 ext 子结构在注入时会复制到 cpu 本地变量中。ext_params 和 pad 包含过时的堆栈值。中断传递仅使用ext_params2，因此不会向客户机泄漏任何内容，但主机用户可使用迁移 ioctls 获取数据。通过初始化 irq 结构进行零初始化修复。对 inti 数据结构进行相同的操作。
    (CVE-2026-89921)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 如果 BIND 解析器发送针对 DNSSEC 签名的授权区域的查询，而授权服务器回复的是有效的通配符回答和签名的 NSEC3 证明，后跟所有者名称相同的未签名 NSEC，则将触发意外程序退出。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-80274）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/amdkfd：修复 pqm_debugfs_mqds 中的mqd_mgr取消引用范围 进程保留活动 KFD 队列时读取 /sys/kernel/debug/kfd/mqds 触发空指针取消引用，因为调用 mqd_mgr->debugfs_show_mqd（） 的 for 循环错误地放置在用于初始化mqd_mgr的 if （pqn->q） 块外部。
    队列列表可包含 pqn->q 为 NULL 的条目（仅 pqn->kq 有效的内核队列）。在原始代码中：if （pqn->q） { ...mqd_mgr = q->device->dqm->mqd_mgrs[mqd_type];大小 = mqd_mgr->mqd_stride（...）;} for （xcc = 0; xcc < num_xccs; xcc++） { // WRONG： outside if block mqd = q->mqd + size * xcc; r = mqd_mgr->debugfs_show_mqd（m， mqd）; }迭代 pqn->q 为 NULL 的队列节点时： 1. 跳过 if （pqn->q） 块 2.mqd_mgr保持未初始化状态（声明为 NULL） 3.for 循环仍然执行 4.mqd_mgr->debugfs_show_mqd（m， mqd） 取消引用 NULL 崩溃表现为：
    缺陷：内核空指针取消引用，地址：0000000000000000 #PF：内核模式下的监督程序指令提取 RIP：0010：0x0 调用跟踪：pqm_debugfs_mqds+0x10c/0x1d0 [amdgpu] kfd_debugfs_mqds_by_process+0x9b/0x110 [amdgpu] seq_read_iter+0x132/0x4b0 ... 通过将 for 循环移动到 if （pqn->q） 块中进行了修复，以便仅在正确初始化时才使用 mqd_mgr 和相关变量。
    （从提交 8bfe29d5c798940f797aa24135d2734c3ffce9de 中精选出的内容）（CVE-2026-89809）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/panthor：强化固件版本信息边界检查 panthor_fw_read_build_info（） 检查元数据范围是否适合具有 hdr.meta_start + hdr.meta_size 的固件映像。两个字段都是 u32，因此加法可以封装并让越界范围通过验证。该函数还会在不首先检查元数据是否足够长的情况下读取 git_sha： 前缀，而 meta_size == 0 可导致 NULL 终止符索引下溢。使用基于减法的边界检查并拒绝太短而无法包含预期前缀和结尾空字节的元数据。（CVE-2026-89826）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/i915：防止 i915_pci_probe（） 中的空driver_data 当设备通过 sysfs driver_override 强制绑定时，pci_match_device（） 可返回虚拟pci_device_id_any条目，在这种情况下
    ->driver_data 未设置 （NULL）。i915_pci_probe（） 会无条件将其转换为 struct intel_device_info *，并取消引用 intel_info->require_force_probe，进而造成 NULL-ptr-deref。（从提交 2727922084672cc274ecea726ea00363c2893731 中精选出的内容）（CVE-2026-89822）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：为避免信息泄漏而将 dport 诊断缓冲区归零 qla2x00_do_dport_diagnostics（） 使用 kmalloc_obj（）（非归零）来分配 qla_dport_diag 响应缓冲区，并在成功后通过 sg_copy_from_buffer（） 将完整的 sizeof（*dd） 复制回用户空间。入站 sg_copy_to_buffer（） 仅填充与用户请求负载提供的字节数一样多，而 qla26xx_dport_diagnostics（） 仅将 dd->buf 清零。因此，选项和 unused[] 字段会以未初始化的形式复制出来，从而将内核堆内容泄漏到用户空间。使用匹配 qla2x00_do_dport_diagnostics_v2（） 的 kzalloc_obj（） 进行分配。（CVE-2026-89859）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/xe：不要将平面 CCS 存储作为可用 VRAM get_flat_ccs_offset（） 从硬件读取平面 CCS 存储的基础，按启用的 L3 节点数量对其进行缩放，并将结果四舍五入到 128K。然后，低于该偏移量的所有内容都会作为可用内存传递给 VRAM 分配器。舍入一个限值（这意味着可用内存在此向上结束）会将位于实际基数和舍入后底值之间的任何内容发布为空闲内存，并且该内存属于压缩硬件。缩放值没有理由对齐 128K，而在 16 GiB 的 Battlemage G21 上则不是：平坦的 CCS 基础：原始0x3fafff800，四舍五入0x3fb000000因此页面0x3fafff000的最后 2 KiB 是分配器池中的 CCS 存储。
    无论在那里分配什么，都会被压缩硬件覆盖该尾部，它不需要页表条目、缓冲区对象和 GPU 提交来完成它，并且在用户空间存在之前完成。在此计算机上，每次冷启动时，Mesa VM 的第 3 级页表都会登陆该页面。它丢失了覆盖合成程序批处理缓冲区堆的条目，因此合成程序的首次提交提取其批次时发生错误，并且 gdm 会永远重新启动它：在其他情况下正常工作的计算机上出现黑屏。重新启动 gdm 会清除它，因为下一个 VM 的页表被分配在其他地方。相反，向下舍入到分配器工作的页面大小。在这台计算机上，它恰好排除了一页。之后读取保留的页面会显示一直在写入它的内容：[369] 0xcccc000000000000 [371] 0xcc77000000000000 [373] 0xcccc000000000000 [375] 0xcc77000000000000压缩元数据，每十六个字节两个字节，位于驱动程序用于分发内存的位置。应该抓住这一点的断言将偏移量与 GSMBASE 进行比较 - 相等ccs_size。该值是 128K 对齐的，因此当基数未对齐时，它与舍入的偏移量完全一致 - 在存在捕获的情况下，检查不会失败，并且除非设置了CONFIG_DRM_XE_DEBUG，否则会被编译出来。将其替换为可能失败的：CCS 存储不得与 GSM 冲突。[ 这是一场来自地狱的调试会话，人工智能完成了大部分繁重的工作，为他提供了巨大的帮助。我想称它为我不知疲倦的帮手，但人工智能多次直言不讳地表示这是不可能和无法解决的，我们应该写一份关于它的报告。我怀疑这些东西是由可能不像我那么固执的人训练的。但是，虽然 AI 已经做好了几次放弃的准备，但它确实在我推动时不断添加调试代码并忠实地分析它。因此，在应得的功劳中归功于我，我让 AI 写下上面的提交消息。这基本上是将虚假的 round_up（） 修复为 round_down（） 的单行，但有 24 个修补程序为此添加了越来越多的调试信息，还有 18 个内核引导最终将范围缩小到此范围。- 莱纳斯 ] （CVE-2026-90047）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Debian Linux - network-manager-vpnc - 无 Ubuntu Linux - [用户名换行符注入到达根密码帮助程序] （CVE-2026-91840）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ceph：正确解密 vmalloc（） 缓冲区中的文件名 fscrypt 子系统使用 scatterlist crypto API，继承其所有缓冲区都位于线性映射区域中的要求。但是，messenger 客户端使用 kvmalloc（） 为消息创建缓冲区，当物理内存碎片不允许足够大的 kmalloc（） 时，这偶尔会将这些缓冲区放在 vmalloc（） 区域中。ceph_fname_to_usr（） 的多个调用程序直接从 MDS 传递（切片）原始消息，而不考虑这些消息可能位于 vmalloc（） 缓冲区中，从而导致 oops，尤其是在非 x86 平台上（请参阅“Closes：”了解更多详细信息和复制品）。使 ceph_fname_to_usr（） 明确容忍 vmalloc（） 分配的 fname->ctext、fname->name 和/或 oname->name 缓冲区，并使用“tname”（非空时必须为线性地址;空时，根据需要短暂分配）作为反弹缓冲区以避免将任何不适当的地址传递到 fscrypt_fname_disk_to_usr（）。此外，通过在消息不在线性区域时传递 NULL，将 parse_reply_info_readdir（）（唯一提供自己的“tname”的函数）更改为遵循新的 tname 绝不能来自 vmalloc（） 规则。尽管这会导致每个目录项的 kmalloc（）+kfree（），但只有在处理溢出到 vmalloc（） 的少数消息时才会存在此开销。我的（粗略）测试表明，此消息仅为 8,000 条 readdir 消息中的 1 条。不过，如果未来开销被证明不合理，缓解还是很容易的：未来的变更可在 parse_reply_info_readdir（） 中分配一个反弹缓冲区，并将其用作“tname”。（CVE-2026-90042）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dmaengine：fsl-edma：跟踪：日志输出期间无 ptr 取消引用 fsl edma 事件在 ringbuffer 中存储指向结构fsl_edma_engine的指针，并在打印日志条目时取消引用该指针。此时，指针可能不再有效。事件注入可用来触发崩溃：$ cd /sys/kernel/tracing $ echo 'value = 0' > events/fsl_edma/edma_writeb/inject $ cat trace 日志输出只需要 edma->membase。在事件结束时添加 membase 字段，并使用新字段进行日志输出。保留现有字段以向后兼容。（CVE-2026-89994）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iio：chemical：atlas-sensor：修复缓冲区后启用中的 PM 引用泄漏 atlas_buffer_postenable（） 通过 pm_runtime_resume_and_get（） 获取运行时 PM 引用，但直接返回 atlas_set_interrupt（） 的结果。如果 atlas_set_interrupt（） 失败，则会泄漏运行时 PM 引用，且设备永远无法自动暂停。在错误路径上添加 pm_runtime_put_autosuspend（） 以平衡引用。（CVE-2026-89939）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Debian Linux - network-manager-vpnc - 无 Ubuntu Linux - [不 CVE-2018-10900完整的修复 ] （CVE-2026-91841）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - KVM：arm64：使 VNCR 无效化参与 MMU 无效化重试 一个 vcpu 上可能发生 VNCR TLB 无效化，而另一个 vcpu 在同一页面中出现错误。如果不正确处理此问题，我们最终会出现以下情况：- vcpu A 遍历 PT 以转换 VNCR - 在 vcpu A 能够获取 MMU 锁定以插入 TLB 之前，vcpu B 会更新具有无效条目的 S1 PT，并且为此 VA 发出 TLBI S1E2 - vcpu A 会针对现在无效的内容插入 TLB 这不是一个新问题， 我们通过让 MMU 通知程序在无效时启动mmu_invalidate_seq来管理 S2，以便可以重播错误。我们可以在这里执行类似的事情，并扩展 invalidate_vncr_va（） 以更新相同的计数器，清楚地表明我们脚下的上下文已经发生了变化。这是安全的，因为在保持 MMU 写入锁定时总是会发生失效，并且我们在遍历 S1 之前对序列号进行采样。（CVE-2026-89916）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - batman-adv：mcast：线性化 skbuff 以生成数据包 batadv_mcast_forw_packet（） 和 batadv_mcast_forw_scrape（） 不仅由 unsharing+linearizing batadv_recv_mcast_packet（） 处理程序（间接）调用。当它被 batadv_mcast_forw_mcsend（） （间接）调用时，它将被非共享但不会线性化。因此，SKB_LINEAR_ASSERT（） 可导致致命的 BUG（）。线性化应该在头部扩展期间发生，因为在初始 batadv_mcast_forw_mode（） 选择代码期间可能已经命中了 scrape 函数：* batadv_interface_tx * batadv_mcast_forw_mode * batadv_mcast_forw_mode_by_count（） * batadv_mcast_forw_push（） -> 在其他所有内容之前调用 batadv_mcast_forw_expand_head（） * batadv_mcast_forw_push_tvlvs（） * batadv_mcast_forw_push_dests（） * batadv_mcast_forw_push_adjust_padding（） * batadv_mcast_forw_scrape（） （CVE-2026-89950）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 畸形区域可能在其源上方包含 NS 或 DNAME 节点，“named”将其视为区域剪切。如果攻击者将畸形区域插入 BIND 授权服务器（例如通过区域传输），则查询配置区域内的名称会失去授权状态并返回区域外委派。
    在也提供递归的服务器上，BIND 可跟随此本地来源的剪切和缓存攻击者提供的数据，进而影响配置区域以外的名称。只要畸形区域仍在区域数据库中，这种情况就会持续存在。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-78301）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：qla2xxx：FW 未启动时跳过 NVMe LS 拒绝 IOCB qla_nvme_xmt_ls_rsp（） 离开：
    固件未启动时标记 （！ha->flags.fw_started），但 out： 路径会无条件调用以 qla2x00_start_iocbs（） 结尾的 qla_nvme_ls_reject_iocb（），并且无条件将门铃写入请求队列内指针寄存器。这会响起固件门铃，将已停止或重置固件无法消耗的 IOCB 排队，并在重置/EEH 窗口期间触及 MMIO，其中fw_started也已清除。仅当设置了fw_started时才发出 LS 拒绝 IOCB（并按门铃）;否则，只需清理并返回即可。分配后失败情况（SRB alloc / qla2x00_start_sp（） 失败）在固件启动时运行，并且仍然发送拒绝。对 qla2xxx_process_purls_pkt（） 中的拒绝发射应用相同的防护。（CVE-2026-89842）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：typec：qcom-pmic-typec：在从 TCPM 的 kthread 工作线程运行的 set_cc（） 和 start_toggling（） 回调排队cc_debounce_dwork停止时禁用cc_debounce_dwork。port_stop（） 在 tcpm_unregister_port（） 销毁该工作线程之前返回。因此，在取消注册期间刷新工作线程可能会运行回调，该回调会在 port_stop（） 返回后将延迟的工作排队。然后，延迟的工作可以在 devres 释放pmic_typec_port后运行。在 port_stop（） 中使用 disable_delayed_work_sync（） 来取消待定的实例并防止 TCPM 回调将另一个回调排队。此问题由内部静态分析工具发现。（CVE-2026-90027）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：target：iscsi：为登录负载预留一个终止字节 iscsi_target_check_login_request（） 拒绝 DataSegmentLength 超过 MAX_KEY_VALUE_PAIRS 的登录 PDU，但是测试结果为“>”并且 login->req_buf 分配了恰好 MAX_KEY_VALUE_PAIRS 个字节。由于 iscsit_get_login_rx（） 接收 payload_length + 填充字节，其中 padding = （（-payload_length） &; 3）;从 8189 到 8192 的任何payload_length都会填满整个 8192 字节缓冲区。写入保持在界内，但没有字节留给 NUL 终止符使用。缓冲区随后作为 C 字符串使用。在 CHAP 路径中，chap_check_algorithm（） 调用 kstrdup（a_str），extract_param（） 调用 strstr（in_buf， pattern），后跟 strlen_semi（），都不占用长度。convert_null_to_semi（） 另外将每个嵌入的 NUL 重写为“;”，因此即使是由格式良好的 NUL 分隔 key=value 记录组成的负载也没有终止符。这些穿过对象的末端进入相邻的 slab 内存。未经认证的发起程序可通过为 CHAP 配置的门户访问它;不需要认证时，iscsi_login_zero_tsih_s2（） 会将 AuthMethod 重写为 None，并且从不输入 CHAP 路径。额外分配一个字节。kzalloc（） 将其归零，并且不会向其写入任何内容，因为每个写入器都会复制到最多 MAX_KEY_VALUE_PAIRS 字节的偏移量 0，因此缓冲区始终会终止。（CVE-2026-90011）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - LoongArch：KVM：修复 dmsintc 的未初始化堆栈变量问题 vector[] 在函数 dmsintc_inject_irq（） 的堆栈上声明，有时使用时未初始化。在这里修复此问题。
    (CVE-2026-89910)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/panthor：修复固件控制接口边界检查 panthor_init_cs_iface（） 和 panthor_init_csg_iface（） 通过 32 位算术和主机封装程序结构的大小验证固件控制接口偏移。偏移派生自固件提供的步幅，因此算术可以在边界检查之前进行封装，并且主机封装程序大小不是要映射的固件控制接口的大小。对计算的偏移使用 64 位算术，并通过基于减法的边界检查根据实际的固件控制接口结构大小进行验证。在使用共享部分之前，还要验证该共享部分是否足够大，以容纳全局控制接口。（CVE-2026-89825）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mm/mempolicy：修复 alloc_pages_bulk_weighted_interleave（） 中的休眠分配 syzbot 报告休眠函数从 bucket_table_alloc（） 中的无效上下文 splat 调用。当 rhashtable_insert_slow（） 重新哈希 rcu_read_lock（） 下的表时，它会调用 bucket_table_alloc（...， GFP_ATOMIC | __GFP_NOWARN）。如果存储桶表分配使用 vmalloc，__vmalloc_node_range_noprof（） 会通过传递的 GFP_ATOMIC 标志调用 vm_area_alloc_pages（） -> alloc_pages_bulk_mempolicy_noprof（）。如果目前任务具有MPOL_WEIGHTED_INTERLEAVE的 mempolicy，则会调用 alloc_pages_bulk_weighted_interleave（），且目前会在分配暂时权重数组时对GFP_KERNEL进行硬编码，进而在原子/RCU 环境中触发 might_alloc（） 崩溃。将 alloc_pages_bulk_weighted_interleave（） 收到的 gfp 标记（使用 GFP_RECLAIM_MASK 屏蔽，以剥离 __GFP_HIGHMEM 等页面分配器区域修饰符）传递到 kmalloc（），而不是进行硬编码GFP_KERNEL。由于权重缓冲区会立即完全初始化，因此 kmalloc（） 就足够了。（CVE-2026-89986）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/nouveau/uvmm：修复失败 OP_UNMAP_SPARSE 中的过早区域释放 在 nouveau_uvmm_bind_job_submit（） 的 OP_UNMAP_SPARSE arm 中，op->reg 从 nouveau_uvma_region_find（） 设置，仅查找区域，不进行任何引用;一个区域的唯一参考是其在 UVMM->region_mt 中的成员资格。有两条失败路径保留 op->reg 集：区域繁忙时的 -ENOENT 检查以及 drm_gpuvm_sm_unmap_ops_create（） 失败。正下方的同级 nouveau_uvmm_sm_unmap_prepare（） 失败清除 op->reg;这两个人没有。
    unwind_continue后退一个 op，因此展开循环会跳过失败的 op，而其 op->reg 保持设置状态。然后，nouveau_uvmm_bind_job_cleanup（） 进入其 if （op->reg） 分支并调用其上的 nouveau_uvma_region_remove（） 和 nouveau_uvma_region_put（），从而删除该树的唯一引用并释放此作业从未创建的区域。清除循环上方的注释记录了损坏的不变量：提交失败时 op->reg 必须为 NULL。这会释放无关失败的实时区域，当 drm_gpuvm_sm_unmap_ops_create（） 返回 -ENOMEM 时可访问单一作业;如果另一个作业拥有相同的区域，则其清理将删除并放置释放的区域，即释放后使用。清除两个失败路径中的 op->reg。（CVE-2026-89801）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：zoran：避免释放已注册的video_device两次 zoran_init_video_device（） 通过 zoran_template 安装 zoran_vdev_release（） 作为video_device释放回调。video_register_device（） 成功后，video_unregister_device（） 会终止已注册的 video_device 引用，而 V4L2 核心最终会调用该释放回调，其会对video_device进行 kfree（）。
    zoran_exit_video_devices（） 先调用 video_unregister_device（），然后调用 kfree（zr->video_dev），因此设备拆卸可释放相同video_device两次。删除直接 kfree（） 并在取消注册后清除缓存的指针。预注册失败路径保持其手动释放，因为video_device未在该处注册。此问题由静态分析检查程序发现，并经手动源审查确认。（CVE-2026-89870）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - tracing：打开选项文件时trace_array引用 选项文件不会针对其所代表的选项进行trace_array引用。如果一个任务打开其中一个文件，而另一个任务删除该选项所在的实例，这可导致释放后使用内核崩溃。
    因为它在打开时不采用引用，所以不会停止删除操作，这将释放正在使用的选项描述符。由于选项在启动时的创建有些动态，因此每个文件在trace_array中代表一个标记。trace_array有一个索引数组，用于表示存储在trace_flags_index数组中的每个标记。索引数组元素的地址用于传递到 inode >i_private指针。然后读取该元素，它保存索引（表示标志），然后使用索引从其trace_flags_index数组计算trace_array描述符。一个问题是，在引用trace_array之前无法引用索引元素。要处理此问题，请创建一个名为 trace_array_options_get（） 的新辅助函数，该函数将迭代ftrace_trace_arrays列表中的所有现有trace_arrays（在trace_types_lock下），并将索引元素的传入地址与trace_array trace_flags_index数组的整个数组进行比较。如果匹配，则向上引用相应trace_array并返回。（CVE-2026-90013）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：dwc3：发出 EndTransfer 时清除 forceRM DEPCMD 寄存器的 forceRM 位控制用于停止活动传输的 EndTransfer 命令的行为。较旧的 DWC3 编程指南修订版建议在发布 EndTransfer 时设置 forceRM=1。较新的编程指南修订版建议在已清除 forceRM 的情况下发布 EndTransfer。DWC_usb31 v2.00a 和 v2.10a 控制器上的 forceRM=1 时，可发现通过 ep_dequeue 路径中止的传输在 EndTransfer 完成后仍然保持活动状态。在同一端点上发出的后续 StartTransfer 触发了与已中止传输相关的写入。这会导致 SMMU 错误，因为在 EndTransfer 命令完成清理期间已取消映射传输缓冲区。使用 forceRM=0 可解决该问题。虽然较旧的 DWC3 编程指南修订版建议设置 forceRM=1，但目前尚无发现使用 forceRM=0 的问题。发出 EndTransfer 时清除 forceRM，以提供一致的 EndTransfer 行为，并与较新的编程指南建议保持一致。（CVE-2026-90030）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - memcg：保持作品集的 objcg 与其节点相同 memcg_reparent_objcgs（） 具有一个固有的假设，即作品集的 objcg 是作品集节点的 objcg。跨节点的作品集迁移打破了这一假设：新作品集只是继承了旧作品集的 objcg，而位于不同的节点上。一旦假设被打破，对开本的 objcg 的重新父级化和对开本的 LRU 列表的重新父级化就不再是原子性的。memcg_reparent_objcgs（） 每次迭代处理一个节点并丢弃中间的所有锁，因此 objcg 在 objcg 节点的迭代中重新设置为父级，而 LRU 列表在 folio 节点的迭代中拼接。该作品集上的任何 LRU 操作都会通过 objcg 解析其 lruvec，从而lru_lock错误的 memcg，而不是lru_lock该作品集实际所在的列表。通过在充电时通过 folio_nid（） 选择 objcg，并为 mem_cgroup_migrate（） 和 mem_cgroup_replace_folio（） 中的目标节点重新派生它来修复此问题。（CVE-2026-89985）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/amdgpu/vcn：修复缓冲区计数检查dec_msg整数溢出 如果提供的 msg[2] （num_buffers） 为 0x3FFFFFFF，表达式 6 + num_buffers * 4 将封装为 2，并且边界检查通过，从而使解析器循环远远超过消息 BO 的末尾。若要触发此漏洞，还需要 ~4GiB 映射，以便 msg[1] 在较早的标头不适合 BO 检查的情况下仍存活下来。以除法形式重写测试，其通过构造无溢出。还会更新消息以反映消息无效。（CVE-2026-89818）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - scsi：pm8001：释放 MSI-X 矢量时使用回滚索引 pm8001_request_msix（） 在 request_irq（） 失败时，使用 free_irq（） 展开之前注册的处理程序。回滚循环对每个迭代使用失败的索引 i，而不是已经注册的矢量索引 j。这会将错误的 IRQ/dev_id 对传递到 free_irq（） 并保留安装较早的处理程序。对回滚循环中的 pci_irq_vector（） 和匹配的 irq_vector 条目同时使用 j。（CVE-2026-90007）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nvme-fabrics：在验证 DHHC-1： 表示之前，修复解析失败 nvmf_parse_options（） 重复 dhchap_secret 和 match_strdup（） dhchap_ctrl_secret时的 DHCHAP 秘密泄漏。如果验证失败，解析器会在将 p 中的临时字符串分配给 opts->dhchap_secret 或 opts->dhchap_ctrl_secret 之前返回 -EINVAL。nvmf_create_ctrl（） 随后会释放 opts，但 nvmf_free_options（） 无法释放未赋值的临时字符串。因此，每个被拒绝的选项都会泄漏一个分配。这很容易被忽略，因为有效的密码会将所有权转移至 opts 并正常释放，而格式错误的密码路径仍然会向用户空间返回预期的 -EINVAL。启用CONFIG_NVME_HOST_AUTH后，便可在 required-option 检查和传输查找之前访问泄漏。不需要 NVMe-oF 目标或工作传输连接;例如，反复写入 dhchap_secret=BAD 或 dhchap_ctrl_secret=BAD 到 /dev/nvme-fabrics 会确定地采用泄露的解析路径。离开两个验证错误路径之前释放临时字符串。使用 kfree_sensitive（），因为复制的选项可能包含机密材料，即使其表示受到拒绝，这与用于存储的 DHCHAP 机密的敏感清理方式一致。（CVE-2026-89975）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：i2c：ov7740：修复删除中的破坏后使用 ov7740_remove（） 函数存在严重的拆卸顺序缺陷，即在释放依赖该互斥体的 V4L2 控制处理程序之前破坏驱动程序的互斥体，从而导致破坏后使用内核错误。此外，驱动程序显式按顺序调用了 v4l2_ctrl_handler_free（） 和 mutex_destroy（），但随后调用了 ov7740_free_controls（），这会再次调用它们，导致双重释放。此修补程序修复了此问题，方法是首先取消注册子设备，然后专门依靠 ov7740_free_controls（） 以正确的顺序安全地去除互斥体和控制处理程序。（CVE-2026-89887）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - media：i2c：imx415：发生 VBLANK 错误时释放运行时 PM 引用 在 pm_runtime_get_if_in_use（） 获取运行时 PM 引用后，编程 VMAX 失败时立即返回 VBLANK 路径。请改为中断开关，以便使用常用的 pm_runtime_put（） 路径。（CVE-2026-89889）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - kprobes：通过 RCU __within_kprobe_blacklist（） 遍历 kprobe_blacklist 保护kprobe_blacklist而不保留kprobe_mutex。卸载模块时，kprobe_remove_area_blacklist（） 会删除黑名单条目，并立即使用 kfree（） 将其释放。因此，对 within_kprobe_blacklist（） 的并发调用可取消引用释放的内存。此外，可以在无法获取休眠kprobe_mutex的原子或非抢占上下文中调用 within_kprobe_blacklist（）。使用 RCU 保护kprobe_blacklist。
    使用 guard（rcu）（） 和 list_for_each_entry_rcu（） 进行遍历，使用 list_add_tail_rcu（） 进行插入，使用 list_del_rcu（） 进行删除，并使用 kfree_rcu（） 在宽限期后安全地回收条目。
    (CVE-2026-89988)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HID：bpf：在破坏路径 __hid_bpf_ops_destroy_device（） 和 hid_bpf_unreg（） struct_ops序列化设备引用版本可能在同一注册引用上争用，从而导致双重放置 struct hid_device并在 hid_destroy_device（） 仍在使用它时将其释放。将 hdev->bpf.prog_list_lock 下的 remove/NULL 决策序列化，以便恰好有一个路径释放每个注册引用：unreg 重新检查锁定下的 ops->hdev，并在破坏路径已清除该决定时不进行放置返回;所有 put_device（） 调用都会在释放锁定之后发生，这样做是安全的，因为并发 unreg 随后会观察到锁定下的 ops->hdev == NULL。背景：每次成功连接 （hid_bpf_ops_reg） 都会获取一个设备引用 （hid_get_device（））。有两种路径可释放它：- 设备破坏：
    hid_destroy_device（） -> hid_bpf_destroy_device（） -> __hid_bpf_ops_destroy_device（），遍历 rcu_read_lock（） 下的 hdev->bpf.prog_list 并丢弃每个附加程序一个引用;- BPF 链接释放：bpf map delete（无BPF_F_LINK）同步调用 st_ops->unreg（） -> hid_bpf_unreg（），从而丢弃其自己的注册的引用。协调握手（破坏端的 e->hdev = NULL 与 unreg 端的 if （！hdev） 返回）是 TOCTOU 检查：这两种路径在不同的锁定域（rcu_read_lock 与 prog_list_lock）下运行，因此并发 unreg 可以将 ops->hdev 读取为非 NULL，在prog_list_lock上阻断，然后在销毁遍历执行的同时继续 - 两条路径随后都会丢弃相同的引用。refcount 合法地达到零（每个递减都是单独有效的），因此不会触发refcount_t饱和：当传输仍在 hid_destroy_device（） 中时，设备被简单地释放，随后的拆卸接触到释放的内存。该补丁在两端将 prog_list_lock 下的 remove/NULL 决策序列化，并将破坏端的放置移到锁之外。保留锁定后，ops->hdev 的普通读取/写入就足够了;未添加任何READ_ONCE/WRITE_ONCE，因此仅限于修补程序。未锁定读取安全性：位于 hid_bpf_unreg（） 顶部的 ops->hdev 的未锁定读取无法接触到已释放的设备，因为 unreg 路径本身仍保留此注册的引用（仅在释放锁定后由其自己的 hid_put_device（） 释放），并且已清除 ops->hdev 的破坏遍历使锁定内部重新检查提早返回而不进行任何放置。两条路径中的一条最多释放每个注册引用。
    (CVE-2026-90001)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 来自不相关同级区域的有效签名 NSEC3 可能会被接受为不安全证明，从而降级安全委派并让伪造的未签名答复通过。此问题影响 BIND 9 9.11.0 版本 9.18.50到 、 到 9.20.09.20.27、 9.21.09.21.25到 9.11.3-S1 到 9.18.50-S1，以及 9.20.9-S1 到 9.20.27-S1。（CVE-2026-77119）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/nouveau/uvmm：修复展开OP_MAP_SPARSE op 时的空取消引用 bind_job_op_from_uop（） 中的每个bind_job_op都由 kzalloc_obj（） 归零，而 nouveau_uvmm_bind_job_submit（） 中的OP_MAP_SPARSE情况仅创建一个区域，因此对于成功处理的稀疏映射，op->ops 将保持为空。如果同一作业中较新的 op 失败，反向展开循环将重新访问该 op 并无条件调用 drm_gpuva_ops_free（&uvmm->base， op->ops）。drm_gpuva_ops_free（） 会立即取消引用其参数（list_for_each_entry_safe在 &ops->list 上），因此 NULL op->ops 错误。该路径可由任何渲染节点 fd 持有者访问，因为 NOUVEAU_VM_BIND DRM_RENDER_ALLOW。使用 IS_ERR_OR_NULL（） 保护释放，就像 nouveau_uvmm_bind_job_cleanup（） 已对相同释放执行的那样。（CVE-2026-89802）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ceph：锁定 ceph_mds_check_access（） MDS 会话 OPEN 处理中的互斥体替换 mdsc->mutex 下的 mdsc->s_cap_auths，从而释放之前的数组及其字符串。ceph_mds_check_access（） 遍历此数组而不保留互斥体。因此，并发会话重新打开可在检查数组时释放数组，进而导致如下所示的释放后使用：无法处理虚拟地址 003aaad64b2c8bb9 上的内核分页请求 [...]内部错误：错误：0000000096000004 [#1] SMP 模块链接于：CPU：56 UID：2953037534 PID：1253231 通信：php-cgi8.4 未受感染 6.18.45-i2-ampere #1146 无 [..] pc：
    ceph_mds_check_access+0xd4/0x550 LR：ceph_mds_check_access+0xc8/0x550 [...]调用跟踪：
    ceph_mds_check_access+0xd4/0x550 （P） ceph_atomic_open+0x138/0xbe8 path_openat+0xa24/0xfa8 do_filp_open+0x94/0x158 do_sys_openat2+0x88/0xf8 （CVE-2026-89990）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - s390/vfio-ap：修复在删除上一个 AP 适配器或域时跳过的热拔出问题 vfio_ap_mdev_hot_unplug_cfg（） 函数使用 bitmap_andnot（） 的返回值来判断客户机 APCB 是否需要更新。但是，当生成的目标位图为空时，bitmap_andnot（） 会返回 false。这意味着如果从主机的 AP 配置中删除唯一分配给 mdev 的适配器、域或控制域，则会从影子 APCB 正确清除该位，但 bitmap_andnot（） 会返回 false，因为结果为空位图。因此，do_hotplug 将保持为 0，并且永远不会调用 vfio_ap_mdev_update_guest_apcb（），从而使 KVM 客户机对已拔出的 AP 设备具有过时的硬件访问权限。通过将 bitmap_andnot（） 返回值检查替换为 bitmap_intersects（） 来确定阴影 APCB 是否实际上与删除掩码重叠，从而修复此问题。如果存在交集，仅针对清除位的副作用调用 bitmap_andnot（），然后无条件地设置 do_hotplug 来触发客户机 APCB 更新。（CVE-2026-89957）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - usb：typec：ucsi：displayport：修复 OOB altmode 数组索引 UCSI displayport 驱动程序在检查连接器的端口 altmode 数组未0xff后，使用 GET_CURRENT_CAM 响应编制索引。端口 altmode 数组长度为 UCSI_MAX_ALTMODES 元素。如果 PPM 返回高于 UCSI_MAX_ALTMODES 且不等于 0xff 的无效 GET_CURRENT_CAM 响应，则内核可能会崩溃并出现数组索引 OOB 错误。访问端口 altmode 数组前，更新 UCSI displayport 驱动程序以验证当前 cam 小于 UCSI_MAX_ALTMODES。（CVE-2026-90025）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - f2fs：避免 sysfs 中的空检查点线程访问checkpoint_merge即使没有检查点合并线程正在运行也可以启用。只读挂载是一种情况：f2fs 不会在f2fs_issue_ckpt启动，但仍可通过 sysfs 写入 ckpt_thread_ioprio。ckpt_thread_ioprio存储路径会更新保存的 ioprio 值，并且在启用 checkpoint_merge 时会为检查点线程调用 set_task_ioprio（）。如果 cprc->f2fs_issue_ckpt 为 NULL，则会取消引用 NULL 任务指针。同时通过 s_umount 保护 ckpt_thread_ioprio sysfs 写入，所以检查点线程在更新其 ioprio 时不能在存储路径下消失。（CVE-2026-89835）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/amdkfd：修复svm_migrate_copy_to_ram处的错误路径 如果由于某些原因导致从设备到系统 ram 的页面迁移失败，驱动程序需要释放和解锁分配的系统页面。要执行此操作，驱动程序应使用页面物理地址或 pfn，然后取得 struct page*。当前驱动程序使用的 dma 地址（用于 adev）在启用 IOMMU 时甚至在一般情况下都不正确。修补程序会根据 sys ram 页面的 struct page* 导致迁移失败的位置，释放和解锁分配的系统页面。此外dma_unmap错误路径中相应的系统 ram 页面。（CVE-2026-89810）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/sysfb： ofdrm：修复fb_size计算中的整数溢出 当两个值都很大时（例如，46341 * 46341 > INT_MAX），帧缓冲区大小计算结果“fb_size = linebytes * height”可能溢出。由于 linebytes 和 height 都是 int 类型，因此以 int * int 的形式执行乘法运算，这导致在溢出时出现未定义的行为。使用 check_mul_overflow（） 检测和阻止此溢出，与 simpledrm.c 和 corebootdrm.c 中使用的方法一致。（CVE-2026-89806）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - samples/damon/wsse：处理 damon_start（） 失败 修补程序系列 samples/damon：处理 damon_{start，stop}（） 失败。所有 DAMON 示例模块都未正确处理因 damon_start（） 而发生的失败。其中，mtier 在处理 damon_stop（） 失败时还有一个额外的问题。WSSE 和 PRCL 在 damon_call（） 失败处理中也存在一个问题。因此，可能会发生内存泄露、下次 DAMON 操作中断，以及释放后使用。修复这些问题。请注意，只能可靠地再现 damon_start（） 失败导致的问题。不过，重现这些问题需要管理员权限。此修补程序（共 6 个）：damon_sample_wsse_start（） 调用程序假设其将在失败时清理资源。该函数还执行上下文构建失败的清理。但是，它不会对 damon_start（） 失败进行清除。因此，当 damon_start（） 失败时，会泄漏 DAMON 上下文的内存。在修复问题失败时释放上下文。请注意，由于模块在独占模式下调用 damon_start（），因此可以可靠地重现该问题。例如，$ sudo damo start $ echo $$ |sudo tee /sys/module/damon_sample_wsse/parameters/target_pid $ echo Y |sudo tee /sys/module/damon_sample_wsse/parameters/enabled $ sudo cat /proc/allocinfo |grep damon_new_ctx 由于第一个命令正在运行另一个 DAMON 实例，第三个命令使 damon_start（） 调用失败，因为新的 DAMON 实例不能独占运行。如果没有此补丁，通过重复上述第三和第四个命令，我们可以显示泄漏导致内存消耗只会增加。但它需要 sudo 权限。此问题由 Sashiko 发现 [1]。（CVE-2026-90005）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - drm/amdgpu：重置时强制完成 MES 环围栏 MES 计划程序环没有 drm 计划程序 （no_scheduler = true），因此 amdgpu_device_pre_asic_reset（） 中的强制完成循环会跳过该计划。它使用轮询隔离，其 hw 值存在于 wb （GTT） 内存中，可在 MODE1 重置后继续存活，而 fence_drv.sync_seq 会针对每个数据包继续前进。当由于 MES 自身停止响应而触发重置时，超时数据包会前进sync_seq超过 MES 写入的最后一个 hw 隔离值。恢复后，第一个 MES 提交会在从未写回的 seq 上永久轮询，从而使恢复失败并在第二次重置时插入框：amdgpu：MES 环缓冲区已满。amdgpu：*ERROR* ring gfx_0.0.0 测试失败 （-110） amdgpu：IP 块 <gfx_v11_0> 恢复失败 -110 amdgpu：GPU 重置以 ret = -110 结束 强制完成 MES 计划程序环隔离以及计划程序环，以便将其 hw 隔离重新对齐为sync_seq。 v2：涵盖所有 XCC（每个 XCC 一个计划程序环），而不仅仅是 mes.ring[0]。
    (CVE-2026-89812)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	严重性
346631	Linux Distros 未修补的漏洞：CVE-2026-89816	medium
346630	Linux Distros 未修补的漏洞：CVE-2026-89846	critical
346629	Linux Distros 未修补的漏洞：CVE-2026-89797	high
346628	Linux Distros 未修补的漏洞：CVE-2026-91838	critical
346627	Linux Distros 未修补的漏洞：CVE-2026-89918	critical
346626	Linux Distros 未修补的漏洞：CVE-2026-89805	high
346625	Linux Distros 未修补的漏洞：CVE-2026-89962	high
346624	Linux Distros 未修补的漏洞：CVE-2026-89921	high
346623	Linux Distros 未修补的漏洞：CVE-2026-80274	high
346622	Linux Distros 未修补的漏洞：CVE-2026-89809	medium
346621	Linux Distros 未修补的漏洞：CVE-2026-89826	high
346620	Linux Distros 未修补的漏洞：CVE-2026-89822	medium
346619	Linux Distros 未修补的漏洞：CVE-2026-89859	high
346618	Linux Distros 未修补的漏洞：CVE-2026-90047	high
346617	Linux Distros 未修补的漏洞：CVE-2026-91840	critical
346616	Linux Distros 未修补的漏洞：CVE-2026-90042	critical
346615	Linux Distros 未修补的漏洞：CVE-2026-89994	high
346614	Linux Distros 未修补的漏洞：CVE-2026-89939	high
346613	Linux Distros 未修补的漏洞：CVE-2026-91841	critical
346612	Linux Distros 未修补的漏洞：CVE-2026-89916	critical
346611	Linux Distros 未修补的漏洞：CVE-2026-89950	medium
346610	Linux Distros 未修补的漏洞：CVE-2026-78301	medium
346609	Linux Distros 未修补的漏洞：CVE-2026-89842	high
346608	Linux Distros 未修补的漏洞：CVE-2026-90027	high
346607	Linux Distros 未修补的漏洞：CVE-2026-90011	critical
346606	Linux Distros 未修补的漏洞：CVE-2026-89910	high
346605	Linux Distros 未修补的漏洞：CVE-2026-89825	high
346604	Linux Distros 未修补的漏洞：CVE-2026-89986	high
346603	Linux Distros 未修补的漏洞：CVE-2026-89801	high
346602	Linux Distros 未修补的漏洞：CVE-2026-89870	high
346601	Linux Distros 未修补的漏洞：CVE-2026-90013	high
346600	Linux Distros 未修补的漏洞：CVE-2026-90030	high
346599	Linux Distros 未修补的漏洞：CVE-2026-89985	high
346598	Linux Distros 未修补的漏洞：CVE-2026-89818	high
346597	Linux Distros 未修补的漏洞：CVE-2026-90007	high
346596	Linux Distros 未修补的漏洞：CVE-2026-89975	high
346595	Linux Distros 未修补的漏洞：CVE-2026-89887	high
346594	Linux Distros 未修补的漏洞：CVE-2026-89889	medium
346593	Linux Distros 未修补的漏洞：CVE-2026-89988	high
346592	Linux Distros 未修补的漏洞：CVE-2026-90001	high
346591	Linux Distros 未修补的漏洞：CVE-2026-77119	medium
346590	Linux Distros 未修补的漏洞：CVE-2026-89802	medium
346589	Linux Distros 未修补的漏洞：CVE-2026-89990	critical
346588	Linux Distros 未修补的漏洞：CVE-2026-89957	high
346587	Linux Distros 未修补的漏洞：CVE-2026-90025	high
346586	Linux Distros 未修补的漏洞：CVE-2026-89835	medium
346585	Linux Distros 未修补的漏洞：CVE-2026-89810	high
346584	Linux Distros 未修补的漏洞：CVE-2026-89806	high
346583	Linux Distros 未修补的漏洞：CVE-2026-90005	medium
346582	Linux Distros 未修补的漏洞：CVE-2026-89812	medium

检测

Nessus 的 Misc. 系列

medium

critical

high

critical

critical

high

high

high

high

medium

high

medium

high

high

critical

critical

high

high

critical

critical

medium

medium

high

high

critical

high

high

high

high

high

high

high

high

high

high

high

high

medium

high

high

medium

medium

critical

high

high

medium

high

high

medium

medium