Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - undici 是用于 Node.js 的 HTTP 客户端库。在版本8.11.08.11.1和中，其实验性 WebSocket 客户端（在允许 HTTP/2 时默认启用）错误地处理通过 HTTP/2 失败的 WebSocket 握手：请求已标记为完成，因此中止变为无 op，并且底层 HTTP/2 流保持打开状态，没有错误监听器。随后当恶意服务器破坏连接时，孤立流会发出未处理的错误，并且Node.js进程会退出。因此，未经认证的远程服务器可造成通过 HTTP/2 向其打开 WebSocket 的任何客户端崩溃，从而导致拒绝服务。
    此问题已在 undici 8.11.2中修复，用户应升级到 8.11.2 或更高版本。变通方案是将 allowH2 设置为 false 以禁用 WebSocket 连接的 HTTP/2，或避免打开与不受信任服务器的 WebSocket 连接。（CVE-2026-109855）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - UNDICI 是 Node.js 的HTTP用戶端程式庫。在版本 8.11.0 和 8.11.1中，其實驗性 WebSocket 用戶端 （在允許 HTTP/2 時預設為啟用） 錯誤處理透過 HTTP/2 失敗的 WebSocket 交握：請求已標記為已完成，因此中止變成無操作，並且基礎 HTTP/2 流保持開啟狀態，沒有錯誤接聽程式。當惡意伺服器隨後破壞連線時，孤立的資料流會發出未處理的錯誤，而Node.js處理程序會結束。因此，未經身份驗證的遠端伺服器可能會使任何透過 HTTP/2 向其開啟 WebSocket 的用戶端當機，從而導致拒絕服務。
    該問題已在 undici 8.11.2中修復，用戶應升級到 8.11.2 或更高版本。因應措施是將 allowH2 設定為 false 以停用 WebSocket 連線的 HTTP/2，或避免開啟與不受信任伺服器的 WebSocket 連線。（CVE-2026-109855）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undici は、Node.js 用の HTTP クライアントライブラリです。バージョン 8.11.0 および 8.11.1 では、HTTP/2 が許可される場合にデフォルトで有効になっている実験的な WebSocket クライアントが、HTTP/2 で失敗した WebSocket ハンドシェイクを不適切に処理します。リクエストはすでに完了とマークされているため、中止は no-op になり、下層の HTTP/2 ストリームはエラーリスナーなしで開いたままになります。悪意のあるサーバーが接続を破壊すると、孤立したストリームは処理されないエラーを発行し、Node.jsプロセスは終了します。このため、認証されていないリモートサーバーは、HTTP/2 経由で WebSocket を開くクライアントをクラッシュさせることができ、その結果サービス拒否になります。
    この問題は undici 8.11.2 で修正されており、ユーザーは 8.11.2 以降にアップグレードする必要があります。回避策として、allowH2 を false に設定して WebSocket 接続に対する HTTP/2 を無効にするか、信頼できないサーバーに対する WebSocket 接続を開かないようにしてください。(CVE-2026-109855)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - undici is an HTTP client library for Node.js. In versions 8.11.0 and 8.11.1, its experimental WebSocket     client, which is enabled by default when HTTP/2 is allowed, mishandles a failed WebSocket handshake over     HTTP/2: the request is already marked completed, so the abort becomes a no-op and the underlying HTTP/2     stream is left open with no error listener. When a malicious server then destroys the connection, the     orphaned stream emits an unhandled error and the Node.js process exits. A remote, unauthenticated server     can therefore crash any client that opens a WebSocket to it over HTTP/2, resulting in a denial of service.
    The issue is fixed in undici 8.11.2, and users should upgrade to 8.11.2 or later. As a workaround, set     allowH2 to false to disable HTTP/2 for WebSocket connections, or avoid opening WebSocket connections to     untrusted servers. (CVE-2026-109855)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
366144	Linux Distros 未修补的漏洞：CVE-2026-109855	Nessus	Misc.	2026/10/15	2026/10/19	high
366144	Linux Distros 未修補弱點：CVE-2026-109855	Nessus	Misc.	2026/10/15	2026/10/19	high
366144	Linux Distros のパッチ未適用の脆弱性: CVE-2026-109855	Nessus	Misc.	2026/10/15	2026/10/19	high
366144	Linux Distros Unpatched Vulnerability : CVE-2026-109855	Nessus	Misc.	2026/10/15	2026/10/19	high

检测

插件搜索

high

high

high

high