Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - MongoDB PHP 驅動程式中的 BSON 編碼器無需驗證即可將字串長度轉換為 32 位元值。
    當受影響的應用程式編碼接近 4 GiB 的字串時，當複製作業使用原始長度時，配置大小可以換行。由此產生的堆緩衝區溢位可能會損壞進程記憶體或終止 PHP 進程。若要解決此問題，需要允許數 GB 值的非預設執行階段組態。不需要 MongoDB 伺服器互動。（CVE-2026-106432）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - MongoDB PHP 驱动程序中的 BSON 编码器在未经验证的情况下将字符串长度转换为 32 位值。
    当受影响的应用程序编码接近 4 GiB 的字符串时，当复制操作使用原始长度时，分配大小可能会封装。生成的堆缓冲区溢出可损坏进程内存或终止 PHP 进程。要达到此问题，需要允许数 GB 值的非默认运行时配置。不需要 MongoDB 服务器交互。（CVE-2026-106432）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 44 ホストには、FEDORA-2026-4a5aaed9f5 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## バージョン 2.1.12

    リリースのハイライト

    - PHPC-276:深くネスト化した BSON をデコードする際のスタック枯渇を防止
    - PHPC-276:CodeWScope スコープのデコードネスト制限を実施します


    ----

    ## バージョン 2.1.11

    リリースのハイライト

    - PHPC-2739:BSON 追加操作の戻り値をチェックします。**CVE-2026-106436**
    - PHPC-2741:追加の長さ BSON の長さチェックを追加します。**CVE-2026-106432**

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MongoDB PHP ドライバーの BSON エンコーダーは、検証せずに文字列の長さを 32 ビット値に変換します。
    影響を受けるアプリケーションが 4 GiB 近くの文字列をエンコードすると、コピー操作が元の長さを使用する間、割り当てサイズがラップされる可能性があります。結果として生じるヒープバッファオーバーフローにより、プロセスメモリが破損したり、PHP プロセスが終了したりする可能性があります。この問題を引き起こすには、マルチギガバイト値を許可するデフォルトでないランタイム構成が必要です。MongoDB サーバーの操作は必要ありません。(CVE-2026-106432)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-1ed9f02b1e のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## バージョン 2.1.12

    リリースのハイライト

    - PHPC-276:深くネスト化した BSON をデコードする際のスタック枯渇を防止
    - PHPC-276:CodeWScope スコープのデコードネスト制限を実施します


    ----

    ## バージョン 2.1.11

    リリースのハイライト

    - PHPC-2739:BSON 追加操作の戻り値をチェックします。**CVE-2026-106436**
    - PHPC-2741:追加の長さ BSON の長さチェックを追加します。**CVE-2026-106432**

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-4a5aaed9f5 advisory.

    ## Version 2.1.12

    Release Highlights

    -    PHPC-276: Prevent stack exhaustion when decoding deeply nested BSON
    -    PHPC-276: Enforce the decode nesting limit for CodeWScope scopes


    ----

    ## Version 2.1.11

    Release Highlights

    -    PHPC-2739: Check returns of BSON append operations. **CVE-2026-106436**
    -    PHPC-2741: Add additional length BSON length checks. **CVE-2026-106432**

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The BSON encoder in the MongoDB PHP Driver converts a string length to a 32-bit value without validation.
    When an affected application encodes a string near 4 GiB, the allocation size can wrap while the copy     operation uses the original length. The resulting heap buffer overflow can corrupt process memory or     terminate the PHP process. Reaching this issue requires a non-default runtime configuration that permits     multi-gigabyte values. No MongoDB server interaction is required. (CVE-2026-106432)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-1ed9f02b1e advisory.

    ## Version 2.1.12

    Release Highlights

    -    PHPC-276: Prevent stack exhaustion when decoding deeply nested BSON
    -    PHPC-276: Enforce the decode nesting limit for CodeWScope scopes


    ----

    ## Version 2.1.11

    Release Highlights

    -    PHPC-2739: Check returns of BSON append operations. **CVE-2026-106436**
    -    PHPC-2741: Add additional length BSON length checks. **CVE-2026-106432**

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 45 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-ce7737d311 advisory.

    ## Version 2.5.5

    Release Highlights

    -    PHPC-276: Prevent stack exhaustion when decoding deeply nested BSON
    -    PHPC-276: Enforce the decode nesting limit for CodeWScope scopes


    ----

    ## Version 2.5.4

    Release Highlights

    -    PHPC-2739: Check returns of BSON append operations. **CVE-2026-106436**
    -    PHPC-2741: Add additional length BSON length checks. **CVE-2026-106432**
    -    PHPC-2505: Fix foreach iteration of MongoDB\Driver\Cursor after garbage collection.


    ----

    ## Version 2.5.3

    * PHPC-2435: Support libmongoc 2.0
    * PHPC-2591, PHPC-2594: Upgrade bundled libmongoc and libmongocrypt dependencies
    * DRIVERS-3105 Add mention of semver
    * Update installation instruction to use `pie`
    * PHPC-2601: Add crypt_shared version to a manager's debug output
    * Minor follow-up work for libmongoc 2 support
    * use ZSTR_IS_INTERNED()
    * Fix dependabot configuration to only update single submodule
    * Fix links to spec documents, migrated from rst to md
    * Upload test results to codecov.io
    * PHPC-2474: Support Binary vector subtype
    * PHPC-2627: Use appropriate return type for zend_object_iterator_funcs.valid
    * PHPC-2638 and PHPC-2630: Bump to libmongoc 2.1.2 and libmongocrypt 1.16.0
    * PHPC-2634: Binary vector corpus tests
    * PHPC-2654: Update to libmongoc 2.2.1
    * PHPC-2649: Update to libmongocrypt 1.17.0
    * PHPC-2664: Drop Windows x86 builds
    * PHPC-2669: Compatibility for PHP 8.6-dev
    * Upgrade bundled dependencies
    * PHPC-2689: Throw LogicException in Binary::getVectorType() and toArray()
    * PHPC-2679: Test PHP 8.5 on Evergreen
    * [PHPC-2647] Out-of-source build: Don't necessarily generate flies in the source tree
    * Add Jrme and Pauline as maintainers
    * PHPC-1971: Use debug builds of PHP for testing
    * Make bson-enum_error resilient to PHP 8.6 interface handler order
    * Stabilize enum interface error handling and tests
    * PHPC-2215: Replace php_phongo prefix
    * Add configuration for Claude Code
    * Harden code after AI-assisted review
    * PHPC-1988: base64 encode binary data when debugging
    * PHPC-2160: Extract calls to bsonSerialize and remove unnecessary check function
    * Use `zend_array_is_list` in `phongo_is_array_or_document`
    * PHPC-2024: Introduce macros for simpler class declarations
    * PHPC-2530: Deprecate hedged reads
    * PHPC-2486: Require non-null namespace and database arguments in Manager
    * Avoid string length calculations for bson_append calls
    * Improve testing notes in CLAUDE.md
    * Add tests to improve coverage of untested or under-tested APIs
    * PHPC-2500: Skip errorLabels assignment for non-RuntimeException exceptions
    * Make bson-enum_error resilient to PHP 8.6 interface handler order
    * Add macros to simplify handling of internal structs
    * Use DBX PR app to create merge-up pull requests
    * PHPC-2699: Add typed, read-only properties for value objects and events
    * PHPC-2700: Fix cloning Javascript objects without a scope
    * Use `json_decode` to produce a non-interned string in typeMap test
    * Generate legacy arginfo for older PHP versions
    * Remove `phongo_write_concern_to_zval`
    * PHPC-2699: Rename durationMicros properties
    * PHPC-1519: Remove phongo_server_to_zval and include Server objects in Manager debug output
    * Remove tests that only ran on PHP 7 and clean up version-specific SKIPIFs
    * PHPC-2699: Add readonly properties to WriteConcernError class
    * Remove extra structs for objects with properties
    * PHPC-1514 Remove `php_phongo_read_concern_to_zval`
    * PHPC-2702 PHPC-2698 Upgrade libmongoc to 2.3.0 and libmongocrypt to 1.17.3
    * PHPC-2695 Replace deprecated bson_append_array_begin with bson_append_array_unsafe_begin
    * Relax check on internal object id, not relevant for the test
    * Remove unnecessary structs for BSON MinKey and MaxKey classes
    * PHPC-2660 Test that killCursors is sent after a connection error during getMore
    * PHPC-1627 Support object cloning for ReadConcern, ReadPreference, and WriteConcern
    * Update release instructions
    * PHPC-2714: Fix in-tree PHP builds
    * Fix ZVAL_STATIC_INIT macro formatting for clang-format compatibility
    * Replace XtOffsetOf() with offsetof() for PHP 8.6
    * Backport: Replace XtOffsetOf with offsetof for PHP 8.6 compatibility
    * PHPC-2715: Fix out-of-source-tree builds
    * PHPC-2647, PHPC-2715: Fix all possible build configurations (standalone vs. in-tree, in-source vs. out-     of-source)
    * Use debug env var for debug builds
    * Implement memory handling correctness fixes
    * PHPC-2721: Exclude generated config headers from PECL package
    * PHPC-2721: Test PECL package installation on Alpine Linux
    * PHPC-2708: Automatically create new minor version branch on release
    * PHPC-2724: Bump libmongocrypt to 1.19.0
    * PHPC-2729: Bump libmongocrypt to 1.20.0
    * PHPC-2731: Pin libmongocrypt runtime and dev packages in lockstep
    * DEVPROD-34208: use Silkbomb image from ECR instead of Artifactory
    * PHPC-2738: Escape release notes when generating package.xml
    * PHPC-2728: Add `stringOpts` support and bump libmongoc 2.4.0
    * PHPC-2708: Update release docs and add version-transition reminders
    * Update maintainers: add Kevin Albertson, mark Andreas Braun inactive
    * PHPC-2753 Add link to ECR log-in
    * PHPC-2742: Bump libmongocrypt to 1.20.2
    * PHPC-2755: Fix test suite failures with PHP 8.6
    * PHPC-2751: Upgrade libmongoc to 2.5.0
    * PHPC-2745: Reject null bytes in namespaces and periods in database names [v2.4]
    * PHPC-2754: Update libmongocrypt to 1.20.3
    * PHPC-2756: Upgrade libmongoc to 2.5.1
    * PHPC-2763 PHPC-2757 Upgrade libmongoc to 2.5.2 and libmongocrypt to 1.20.4
    * PHPC-2744 Fix dependency issue
    * PHPC-2771: Upgrade libmongoc to 2.5.4
    * PHPC-2773: Upgrade libmongoc to 2.5.5
    * PHPC-2743: Fix `__pclass` inference in events


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
364528	Linux Distros 未修補弱點：CVE-2026-106432	Nessus	Misc.	10/10/2026	10/31/2026	low
364528	Linux Distros 未修补的漏洞：CVE-2026-106432	Nessus	Misc.	10/10/2026	10/31/2026	low
371745	Fedora 44:php-pecl-mongodb2(2026-4a5aaed9f5)	Nessus	Fedora Local Security Checks	10/24/2026	10/24/2026	medium
364528	Linux Distros のパッチ未適用の脆弱性: CVE-2026-106432	Nessus	Misc.	10/10/2026	10/31/2026	low
371747	Fedora 43:php-pecl-mongodb2(2026-1ed9f02b1e)	Nessus	Fedora Local Security Checks	10/24/2026	10/24/2026	medium
371745	Fedora 44 : php-pecl-mongodb2 (2026-4a5aaed9f5)	Nessus	Fedora Local Security Checks	10/24/2026	10/24/2026	medium
364528	Linux Distros Unpatched Vulnerability : CVE-2026-106432	Nessus	Misc.	10/10/2026	10/31/2026	low
371747	Fedora 43 : php-pecl-mongodb2 (2026-1ed9f02b1e)	Nessus	Fedora Local Security Checks	10/24/2026	10/24/2026	medium
374652	Fedora 45 : php-pecl-mongodb2 (2026-ce7737d311)	Nessus	Fedora Local Security Checks	10/31/2026	10/31/2026	medium

Detections

Analytics

Plugins Search

low

low

medium

low

medium

medium

low

medium

medium