远程主机上安装的 libxml2 版本低于 2.9.1-6 。因此，该软件受到 ALAS2-2026-3940 公告中提及的多个漏洞影响。

    在启用了 Python 绑定的 libxml2 中发现一个缺陷。远程攻击者可通过提供特别构建的包含具有枚举属性值的文档类型定义 （DTD） 的 XML 文档来利用此漏洞。这会在 SAX attributeDecl 回调处理程序中触发双重释放错误，其中字符串会被释放两次。此缺陷可导致拒绝服务 （DoS），原因是使用 libxml2 SAX 绑定的 Python 应用程序中出现可再现的崩溃。（CVE-2026-74860）

    在之前的 libxml2 2.15.4中，xmlFAParsePosCharGroup 在 xmlregexp 的 NXT 宏中存在越界读取，亦称越界读取。（CVE-2026-86137）

    在之前 2.15.4的 libxml2 中，dict.c 中的 xmlDictAddQString 存在整数溢出以及由此导致的基于堆的缓冲区溢出。（CVE-2026-86138）

    在之前的 libxml2 2.15.4中，valid.c 中的 xmlSnprintfElements 存在 strcat 基于堆栈的缓冲区溢出。
    (CVE-2026-86140)

    在之前 2.15.4的 libxml2 中，由于 xmlXPtrEval xpointer 长度饱和，xmlXPtrEvalXPtrPart 中存在基于堆的缓冲区溢出。（CVE-2026-86142）

    在 libxml2 之前 2.15.4的 xmlIO 中，xmlOutputWriteCallback 和 xmlBufUse 的不一致导致负长度到达写入回调，也就是在调用 writecallback 之前缺少整数溢出检查。这与回调中该长度值的许多类型的使用具有安全相关性。
    (CVE-2026-86143)

    在之前的 libxml2 2.15.4的 xinclude 中，xmlXIncludeProcess 和 xmlXIncludeProcessTree 不会传播 parseFlags。例如，如果自定义资源加载程序（没有该标记）访问 Internet 并触发 XML 外部实体注入、SSRF 或拒绝服务（例如，对于故意缓慢的由攻击者控制的 Internet 资源），这与 XML_PARSE_NONET 标记安全相关。
    (CVE-2026-86144)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在之前的 libxml2 2.15.4中，xmlFAParsePosCharGroup 在 xmlregexp 的 NXT 宏中存在越界读取，也称为越界读取。（CVE-2026-86137）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
351063	Amazon Linux 2 : libxml2 (ALAS-2026-3940)	Nessus	Amazon Linux Local Security Checks	2026/9/29	2026/9/29	high
374269	Nessus Network Monitor < 6.6.0 多个漏洞 (TNS-2026-32)	Nessus	Misc.	2026/10/30	2026/11/2	high
343099	Linux Distros 未修补的漏洞：CVE-2026-86137	Nessus	Misc.	2026/9/5	2026/11/7	medium

检测

插件搜索

high

high

medium