Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - riscv：entry：在 sstatus 上重新加载门影子调用堆栈。SPP，而非 tp 在 CONFIG_SHADOW_CALL_STACK 下，handle_exception（） 仅当陷阱来自用户空间时才重新加载内核影子调用堆栈指针 （gp）。它通过 scs_load_current_if_task_changed 做出此决定，后者将陷阱时间 tp（从头开始读回 s5）与当前的 tp： beq \prev， tp， _skip_scs scs_load_current
    _skip_scs：tp 是用户可写的寄存器。在捕获之前将 tp 设置为其自有 task_struct （t） 的线性映射地址的用户任务使比较成功（在我们的测试中启用 KASLR 后，可以通过暴力破解实现），因此内核会跳过scs_load_current并继续使用用户空间留下的 gp 运行。在 CONFIG_SHADOW_CALL_STACK gp 下为影子调用堆栈指针，load_global_pointer 为非 op，因此编译程序发出的 sd ra、-8（gp） / ld ra、-8（gp） 然后在每个非叶函数中写入并返回受攻击者控制的地址 -- 非特权内核任意写入和控制流劫持原语。返回时，中毒的 gp 会保存到 task_struct.scs_sp，因此也会跳过每个后续条目的重新加载。Decide 来自硬件 sstatus 的用户空间。SPP 位（此时已在 s1 中）而非来自 tp，镜像检查 ret_from_exception 之后已经使用了一些指令。SPP 由硬件在陷阱进入时写入，无法从 U 模式伪造。
    合法行为未更改：用户条目 （SPP=0） 重新加载任务影子调用堆栈，嵌套内核条目 （SPP=1） 跳过该堆栈。（CVE-2026-99018）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - riscv： entry：在 sstatus 上重新載入閘門影子呼叫堆疊。SPP，而不是 tp 在 CONFIG_SHADOW_CALL_STACK 下，只有當陷阱來自使用者空間時，handle_exception（） 才會重新載入核心影子呼叫堆疊指標 （gp）。它使用 scs_load_current_if_task_changed 做出了這個決定，它將陷阱時間 tp（從頭開始讀回 s5）與當前 tp 進行比較：beq \prev、tp、_skip_scs scs_load_current
    _skip_scs：tp 是一個使用者可寫入的暫存器。在陷印之前將 tp 設定為自己 task_struct （t） 的線性映射位址的使用者任務使比較成功（在我們的測試中啟用 KASLR 可以透過暴力破解來實現），因此核心會跳過scs_load_current並繼續使用使用者空間保留的 gp 運行。在 CONFIG_SHADOW_CALL_STACK gp 下是影子呼叫堆疊指標，而 load_global_pointer 是無操作，因此編譯器發出的 sd ra、-8（gp） / ld ra、-8（gp） 然後寫入並返回攻擊者控制的位址 -- 無權限的核心任意寫入和控制流劫持原語。中毒的 gp 會在傳回時儲存到 task_struct.scs_sp，因此後續每個項目也會跳過重新載入。Decide 來自硬體狀態的使用者空間。SPP 位元（此時已在 s1 中）而不是來自 tp，鏡像ret_from_exception稍後已經使用了一些指令的檢查。SPP 由硬體在陷阱條目上寫入，無法從 U 模式偽造。
    合法行為不變：使用者項目 （SPP=0） 重新載入任務影子呼叫堆疊，巢狀核心項目 （SPP=1） 跳過它。（CVE-2026-99018）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - riscv:entry:sstatus でのシャドウ呼び出しスタックのリロードをゲートします。tpではなくSPP CONFIG_SHADOW_CALL_STACKでは、トラップがユーザー空間から来た場合のみ、handle_exception()はカーネルシャドウコールスタックポインター(gp)をリロードします。トラップタイム tp(sscratch から s5 に読み戻す)を現在の tp: beq \prev、tp、_skip_scs scs_load_current と比較する scs_load_current_if_task_changed でこの決定を下しました
    _skip_scs:tp はユーザーによる書き込み可能なレジスタです。トラップの前にtpを自身のtask_struct(t)のリニアマップアドレスに設定するユーザータスクにより、比較が成功するため(弊社のテストではKASLRを有効にしてブルートフォースで達成できます)、カーネルはscs_load_currentをスキップし、ユーザー空間が所定の位置に残したgpで実行され続けます。CONFIG_SHADOW_CALL_STACK gp はシャドウコールスタックポインターであり、load_global_pointer は no-op であるため、すべての非リーフ関数のコンパイラが発行する sd ra、-8(gp) / ld ra、-8(gp) は、その後、攻撃者がコントロールするアドレス(権限のないカーネルの任意の書き込みおよび制御フローハイジャックのプリミティブ)に書き込み、そのアドレスを返します。ポイズニングされた gp はリターン時に task_struct.scs_sp に保存されるため、その後のすべてのエントリでもリロードはスキップされます。ハードウェア sstatus のユーザー空間から取得したことを決定します。tp からではなく SPP ビット(この時点ですでに s1 にある)を使用し、後ですでに ret_from_exception がいくつかの命令を使用しているチェックをミラーリングします。SPP は、トラップエントリでハードウェアによって書き込まれ、U モードから偽造することはできません。
    正当な動作は変更されません:ユーザーエントリ(SPP=0)はタスクシャドウコールスタックをリロードし、ネスト化されたカーネルエントリ(SPP=1)はそれをスキップします。(CVE-2026-99018)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - riscv: entry: gate shadow call stack reload on sstatus.SPP, not tp Under CONFIG_SHADOW_CALL_STACK,     handle_exception() reloads the kernel shadow call stack pointer (gp) only when the trap came from     userspace. It made that decision with scs_load_current_if_task_changed, which compares the trap-time tp     (read back from sscratch into s5) against the current tp: beq \prev, tp, _skip_scs scs_load_current
    _skip_scs: tp is a user-writable register. A user task that sets tp to the linear-map address of its own     task_struct (t) before trapping makes the comparison succeed (can achieve by brute force with KASLR     enable under our test), so the kernel skips scs_load_current and keeps running with the gp that userspace     left in place. Under CONFIG_SHADOW_CALL_STACK gp is the shadow call stack pointer and load_global_pointer     is a no-op, so the compiler-emitted sd ra, -8(gp) / ld ra, -8(gp) in every non-leaf function then     write to, and return through, an attacker-controlled address -- an unprivileged kernel arbitrary-write and     control-flow-hijack primitive. The poisoned gp is saved to task_struct.scs_sp on return, so the reload is     skipped on every subsequent entry as well. Decide came from userspace from the hardware sstatus.SPP bit     (already in s1 at this point) instead of from tp, mirroring the check that ret_from_exception already uses     a few instructions later. SPP is written by hardware on trap entry and cannot be forged from U-mode.
    Legitimate behaviour is unchanged: user entries (SPP=0) reload the task shadow call stack, nested kernel     entries (SPP=1) skip it. (CVE-2026-99018)

Note that Nessus relies on the presence of the package as reported by the vendor.

An update of the linux package has been released.

ID	Name	Product	Family	Published	Updated	Severity
372272	Linux Distros 未修补的漏洞：CVE-2026-99018	Nessus	Misc.	10/27/2026	11/7/2026	high
372272	Linux Distros 未修補弱點：CVE-2026-99018	Nessus	Misc.	10/27/2026	11/7/2026	high
372272	Linux Distros のパッチ未適用の脆弱性: CVE-2026-99018	Nessus	Misc.	10/27/2026	11/7/2026	high
372272	Linux Distros Unpatched Vulnerability : CVE-2026-99018	Nessus	Misc.	10/27/2026	11/7/2026	high
375086	Photon OS 5.0: Linux PHSA-2026-5.0-92-1044	Nessus	PhotonOS Local Security Checks	11/2/2026	11/2/2026	critical

Detections

Analytics

Plugins Search

high

high

high

high

critical