漏洞修复概况
Curl维护团队通过单次更新修复了18个安全漏洞，其中包含一个存在长达25年的历史性漏洞。作为广泛应用于网络数据传输的开源工具和库，curl目前运行在全球超过300亿台设备上。此次修复的问题涉及认证绕过、内存安全及主机验证等多个领域。
漏洞发现过程
2026年5月11日，curl首席开发者最初表示Anthropic的Mythos系统仅发现1个CVE。随后AISLE等机构深入分析后，共发现18个安全问题。根据AISLE发布的报告显示："AISLE在curl和libcurl中共发现6个CVE，是安全机构中表现最突出的。使用Anthropic和OpenAI模型的研究人员各自仅发现1个漏洞。"
漏洞特征分析
这些漏洞的特殊性不仅在于数量，更反映了curl的演进历程。随着明显漏洞的逐步清除，剩余问题多存在于状态处理、旧协议路径和连接复用等非常规场景中。AISLE发现的6个新CVE包括：
- 内存和逻辑漏洞（libcurl）
- 最古老的CVE-2026-8932（可追溯至2001年3月的curl 7.7版本）
技术公告指出："libcurl在客户端证书或私钥设置变更后仍可能复用现有连接（认证绕过）。"该漏洞主要影响涉及连接复用的libcurl行为，命令行工具不受影响，但集成libcurl的应用程序存在风险。
解决：
管理员需尽快升级版本，提前做好兼容性校验
将受影响的curl与libcurl实例升级至8.23.0版本，或安装对应补丁。需要注意检查内置libcurl的应用，因为仅更新独立版curl工具可能无法更新应用内嵌入的libcurl副本。
规划部署过程中，应逐一核查代理认证、凭证日志记录、IMAP上传相关的配置。正式推送更新前，需查阅版本公告确认所有兼容性变更，避免影响业务正常运行。
本次修复的漏洞涵盖凭证泄露、认证错误、命令注入以及可导致应用中断的缺陷。本次版本还移除了对SMB和SMBS协议的支持，用户部署前需重点做好兼容性检查