cURL 严重漏洞已存在25年，影响300亿台设备
Ionut Arghire
Ionut Arghire
代码卫士
2026年6月26日 14:53
北京
在小说阅读器读本章
去阅读
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
开源数据传输工具及库cURL本周修复了多达18个CVE漏洞（4个中危和14个低危），是单个curl版本中修复数量最多的一次。其中包括一个长达25年之久的严重漏洞 (CVE-2026-8932)，它最早于2001年3月22日随curl 7.7版本一同发布，是cURL有史以来报告的最古老的安全问题。这些漏洞是 Anthropic 公司 Mythos 于5月初发现一个curl漏洞后，社区共同努力发现的成果。
CVE-2026-8932被描述为mTLS连接复用问题，可能导致身份验证绕过。该漏洞影响libcurl应用程序，而不影响cURL命令行工具。漏洞管理公司Aisle表示，该漏洞产生的原因在于“当客户端证书或私钥设置发生变化后，libcurl仍可能复用已有连接”。Aisle利用其AI平台识别出了curl和libcurl中的多个弱点，其中6个于今年获得了CVE编号，CVE-2026-8932是其中之一。其它识别出的漏洞包括凭据混淆（CVE-2026-8926）、双重释放（CVE-2026-8925）、释放后使用（CVE-2026-9080和CVE-2026-10536）以及主机验证不当（CVE-2026-9547）。
正如该公司所言，Mythos发现了一个curl漏洞，且只被曝存在少量安全问题，并不令人意外。Aisle表示：“curl对安全研究人员来说尤为值得关注：简单的漏洞早已被挖完，剩下的都是难以发现的问题：老旧协议路径、状态复用、回调行为、凭证选择，以及那些容易被遗忘的代码路径。”
目前有超过300亿台设备使用curl进行数据传输，包括服务器、手机和汽车，因此该漏洞对攻击者来说可能极具价值。不过，目前尚未有公开报告称 cURL 漏洞遭在野利用。
开源卫士试用地址：https://oss.qianxin.com/#/login
代码卫士试用地址：https://sast.qianxin.com/#/login
推荐阅读
【已复现】curl SOCKS5 堆溢出漏洞(CVE-2023-38545)安全风险通告
原文链接
https://www.securityweek.com/25-year-old-vulnerability-patched-in-curl/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 \"赞” 吧~
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论