遠端主機上安裝的 Apache Struts 版本是 2.0.0 透過 2.3.37、 2.5.0 或透過 2.5.33、 6.x6.12.0或之前 或 7.x7.4.0之前。因此，它會受到多個弱點的影響，如 S2-075 和 S2-078 公告中所述：

  - Apache Struts 中運算式語言陳述式中使用的特殊元素的不當無效化 （「運算式語言插入」） 弱點。如果應用程式設定為使用舊版 RESTful 動作對應程式，則特製的要求可能會插入可能導致遠端程式碼執行的 OGNL 運算式。只有在停用 OGNL 允許清單時，Struts 7 才會受到影響;預設情況下會啟用。使用預設動作對應程式、restful2 對應程式或 Struts REST 外掛程式的應用程式不會受到影響。（CVE-2026-104711）

  - Apache Struts 中使用同步處理不當的共用資源並行執行 （「爭用情形」） 弱點。當當地語系化訊息格式化日期或時間引數時，全應用程式文字提供者為該訊息保留的格式化程式會由並行服務的要求使用，而不會隔離，因此屬於一個使用者的值可能會出現在另一個使用者的回應中，或者轉譯可能會失敗並顯示為伺服器錯誤。其本地化訊息格式為無日期或時間引數的應用程式不受影響。
    (CVE-2026-104714)

這兩個問題都僅由特定應用程式組態公開，而 Nessus 無法驗證這些設定，因此此發現項目會標記為潛在弱點。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Apache Struts 中運算式語言陳述式中使用的特殊元素的不當無效化 （「運算式語言插入」） 弱點。如果應用程式設定為使用舊版 RESTful 動作對應程式，則特製的要求可能會插入可能導致遠端程式碼執行的 OGNL 運算式。
    只有在停用 OGNL 允許清單時，Struts 7 才會受到影響;預設情況下會啟用。使用預設動作對應程式、restful2 對應程式或 Struts REST 外掛程式的應用程式不會受到影響。此問題會影響 Apache Struts： from 2.0.0 through 2.3.37， from 2.5.0 through 2.5.33， from 6.0.0 through 6.11.0， from 7.0.0 through 7.3.0。建議使用者升級至 6.12.0 或 7.4.0 版，即可修正此問題。(CVE-2026-104711)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 未正确抵消 Apache Struts 中表达式语言语句（“表达式语言注入”）漏洞中使用的特殊元素。如果应用程序配置为使用旧的 RESTful 操作映射程序，则构建的请求可能会注入可能导致远程代码执行的 OGNL 表达式。
    仅当禁用 OGNL 允许列表时，Struts 7 才会受到影响;默认情况下启用。使用默认操作映射程序、restful2 映射程序或 Struts REST 插件的应用程序不受影响。此问题影响 Apache Struts： from 2.0.0 through ， from 2.5.0 through 2.5.33， from 6.0.0 through 6.11.0， from 7.0.07.3.02.3.37through . 建议用户升级到修复了此问题的版本 6.12.0 或 7.4.0。(CVE-2026-104711)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Apache Struts 版本为 2.0.0 、 2.3.37或 7.x6.x7.4.02.5.02.5.336.12.0。因此，如公告 S2-075 和 S2-078 所述，受到多个漏洞的影响：

  - 未正确抵消 Apache Struts 中表达式语言语句（“表达式语言注入”）漏洞中使用的特殊元素。如果应用程序配置为使用旧的 RESTful 操作映射程序，则构建的请求可能会注入可能导致远程代码执行的 OGNL 表达式。仅当禁用 OGNL 允许列表时，Struts 7 才会受到影响;默认情况下启用。使用默认操作映射程序、restful2 映射程序或 Struts REST 插件的应用程序不受影响。（CVE-2026-104711）

  - Apache Struts 中具有不正确同步（“争用条件”）漏洞的共享资源并发执行。本地化消息格式化日期或时间参数时，应用程序范围的文本提供程序为该消息保留的格式化程序将由并发服务的请求使用，而无需隔离，因此属于一个用户的值可能会出现在另一个用户的响应中，或者呈现可能会失败并显示为服务器错误。其本地化消息格式为无日期或时间参数的应用程序不受影响。
    (CVE-2026-104714)

这两个问题都仅会由 Nessus 无法验证的特定应用程序配置暴露，因此将此发现标记为潜在漏洞。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Strutsの式言語ステートメントで使用される特別な要素の不適切な中和(「式言語インジェクション」)の脆弱性。アプリケーションがレガシー RESTful アクションマッパーを使用するように構成されている場合、細工されたリクエストによって OGNL 式が注入され、リモートコードの実行が引き起こされる可能性があります。
    Struts 7 は、OGNL 許可リストが無効になっている場合にのみ影響を受けます。デフォルトでは有効になっています。デフォルトのアクションマッパー、restful2 マッパー、または Struts REST プラグインを使用しているアプリケーションは、影響を受けません。この問題は、 2.0.0 から 2.3.37、 2.5.0 から 2.5.33、 6.0.0 から 6.11.0、 7.0.0 から 7.3.0 のApache Strutsに影響を与えます。ユーザーには、この問題を修正したバージョンであるバージョン 6.12.0 または 7.4.0 へのアップグレードをお勧めします。(CVE-2026-104711)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている Apache Struts のバージョンは、2.3.37 から 2.0.0、2.5.33 から 2.5.0、6.12.0 より前の 6.x、7.4.0 より前の 7.x です。したがって、S2-075およびS2-078のアドバイザリに記載されているように、複数の脆弱性の影響を受けます。

  - Apache Strutsの式言語ステートメントで使用される特別な要素の不適切な中和(「式言語インジェクション」)の脆弱性。アプリケーションがレガシー RESTful アクションマッパーを使用するように構成されている場合、細工されたリクエストによって OGNL 式が注入され、リモートコードの実行が引き起こされる可能性があります。Struts 7 は、OGNL 許可リストが無効になっている場合にのみ影響を受けます。デフォルトでは有効になっています。デフォルトのアクションマッパー、restful2 マッパー、または Struts REST プラグインを使用しているアプリケーションは、影響を受けません。(CVE-2026-104711)

  - Apache Struts における不適切な同期(「競合状態」)の脆弱性がある共有リソースを使用した同時実行。ローカライズされたメッセージが日付または時刻の引数を書式設定する場合、アプリケーション全体のテキスト プロバイダーによってそのメッセージ用に保持されたフォーマッターは、分離なしで同時処理された要求によって使用されるため、あるユーザーに属する値が別のユーザーの応答に表示されるか、レンダリングが失敗してサーバー エラーとして表面化する可能性があります。ローカライズされたメッセージフォーマットが日付や時刻の引数がないアプリケーションは、影響を受けません。
    (CVE-2026-104714)

どちらの問題も特定のアプリケーション設定によってのみ明らかになり、Nessus では検証できないため、この検出結果は潜在的な脆弱性としてフラグが立てられます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Improper neutralization of special elements used in an expression language statement ('Expression Language     Injection') vulnerability in Apache Struts. If the application is configured to use the legacy RESTful     action mapper, a crafted request can inject an OGNL expression that may lead to remote code execution.
    Struts 7 is affected only when the OGNL allowlist is disabled; it is enabled by default. Applications     using the default action mapper, the restful2 mapper, or the Struts REST plugin are not affected. This     issue affects Apache Struts: from 2.0.0 through 2.3.37, from 2.5.0 through 2.5.33, from 6.0.0 through     6.11.0, from 7.0.0 through 7.3.0. Users are recommended to upgrade to version 6.12.0 or 7.4.0, which fixes     the issue. (CVE-2026-104711)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Apache Struts installed on the remote host is 2.0.0 through 2.3.37, or 2.5.0 through 2.5.33, or 6.x prior to 6.12.0, or 7.x prior to 7.4.0. It is, therefore, affected by multiple vulnerabilities, as referenced in the S2-075 and S2-078 advisories:

  - Improper neutralization of special elements used in an expression language statement ('Expression Language     Injection') vulnerability in Apache Struts. If the application is configured to use the legacy RESTful action     mapper, a crafted request can inject an OGNL expression that may lead to remote code execution. Struts 7 is     affected only when the OGNL allowlist is disabled; it is enabled by default. Applications using the default     action mapper, the restful2 mapper, or the Struts REST plugin are not affected. (CVE-2026-104711)

  - Concurrent execution using shared resource with improper synchronization ('race condition') vulnerability in     Apache Struts. Where a localized message formats a date or time argument, the formatter retained for that     message by the application-wide text provider is used by concurrently served requests without isolation, so a     value belonging to one user can appear in another user's response, or the rendering can fail and surface as a     server error. Applications whose localized messages format no date or time arguments are not affected.
    (CVE-2026-104714)

Both issues are only exposed by specific application configurations, which Nessus cannot verify, so this finding is flagged as a potential vulnerability.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
364469	Apache Struts 2.x <= 2.3.37 / 2.5.x <= 2.5.33 / 6.x < 6.12.0 / 7.x < 7.4.0 多個漏洞（S2-075）（S2-078）	Nessus	Misc.	10/9/2026	10/12/2026	high
363054	Linux Distros 未修補弱點：CVE-2026-104711	Nessus	Misc.	10/6/2026	10/6/2026	critical
363054	Linux Distros 未修补的漏洞：CVE-2026-104711	Nessus	Misc.	10/6/2026	10/6/2026	critical
364469	Apache Struts 2.x <= 2.3.37 / 2.5.x <= 2.5.33 / 6.x < 6.12.0 / 7.x < 7.4.0 多个漏洞（S2-075）（S2-078）	Nessus	Misc.	10/9/2026	10/12/2026	high
363054	Linux Distros のパッチ未適用の脆弱性: CVE-2026-104711	Nessus	Misc.	10/6/2026	10/6/2026	critical
364469	Apache Struts 2.x <= 2.3.37 / 2.5.x <= 2.5.33 / 6.x < 6.12.0 / 7.x < 7.4.0 複数の脆弱性(S2-075)(S2-078)	Nessus	Misc.	10/9/2026	10/12/2026	high
363054	Linux Distros Unpatched Vulnerability : CVE-2026-104711	Nessus	Misc.	10/6/2026	10/6/2026	critical
364469	Apache Struts 2.x <= 2.3.37 / 2.5.x <= 2.5.33 / 6.x < 6.12.0 / 7.x < 7.4.0 Multiple Vulnerabilities (S2-075) (S2-078)	Nessus	Misc.	10/9/2026	10/12/2026	high

Detections

Analytics

Plugins Search

high

critical

critical

high

critical

high

critical

high