curl高危漏洞CVE-2026-92392修复方案及版本影响说明

Mark Do 4 小时前暂无评论阅读 33 次

漏洞概述

2026年10月7日，curl项目维护者Daniel Stenberg在博客中宣布了一项安全更新计划：将于10月14日发布curl新版本，集中修复22个已知的安全漏洞。这些漏洞的危险程度各不相同，其中一项被评定为高危级别（即CVE-2026-92392），其余漏洞则属于中低危险等级。

curl项目维护方已与包括Ubuntu在内的下游供应商在保密协议框架下进行了协调，相关漏洞已于预定日期公开披露。所有分发curl的操作系统均受影响，涵盖各类Linux发行版。CVE-2026-92392仅针对Ubuntu 26.04 LTS（Resolute Raccoon）产生影响，目前Ubuntu已为该系统发布了相应的安全更新公告（USN-8927-1），全面修复所有已知漏洞。其他受支持版本的更新包也将在近期陆续推出。

这些漏洞目前未被分配CVSS评分，但Ubuntu安全团队评估CVE-2026-92392的CVSS 3.1得分为8.1分（高危），具体评级为：CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H。

curl命令行工具和libcurl库均受到波及，以下是涉及的全部CVE编号：

CVE-2026-107929、CVE-2026-107928
CVE-2026-94266、CVE-2026-94265
CVE-2026-92392、CVE-2026-92391
CVE-2026-92390、CVE-2026-92389
CVE-2026-92388、CVE-2026-92387
CVE-2026-92386、CVE-2026-87866
CVE-2026-87865、CVE-2026-87864
CVE-2026-87863、CVE-2026-87862
CVE-2026-87861、CVE-2026-86415
CVE-2026-86414、CVE-2026-86413
CVE-2026-86412、CVE-2026-86411
CVE-2026-86410、CVE-2026-86409

受影响的Ubuntu版本

版本代号	源码包名称	修复状态
Trusty (14.04)	curl	补丁待发布不受CVE-2026-92392影响
Xenial (16.04)	curl	补丁待发布不受CVE-2026-92392影响
Bionic (18.04)	curl	补丁待发布不受CVE-2026-92392影响
Focal (20.04)	curl	补丁待发布不受CVE-2026-92392影响
Jammy (22.04)	curl	补丁待发布不受CVE-2026-92392影响
Noble (24.04)	curl	补丁待发布不受CVE-2026-92392影响
Resolute (26.04)	curl	已修复（8.18.0-1ubuntu2.8）受CVE-2026-92392影响

如何检查自身是否受影响

可通过以下命令查看系统中与curl相关的已安装包版本：

apt list '?installed ?source-package(^curl$)'

CVE-2026-92392的影响分析

该漏洞已知可导致远程代码执行。成功利用需要攻击方提供恶意服务器，因此可通过限制仅访问可信服务器来降低风险。不过，触发和成功利用该漏洞的条件较为复杂。

其他漏洞的影响说明

CVE-2026-92388同样属于use-after-free（释放后使用）类漏洞，与CVE-2026-92392属于同一类型。此类漏洞在保守评估中通常被认为可能导致远程代码执行。然而，该漏洞并不影响curl命令行工具，仅在特定场景下——即应用程序通过libcurl库以特定方式使用FTP功能时才会受影响。因此，curl项目将其评定为低危漏洞。

其余CVE漏洞主要涉及通过多种途径将认证凭据泄露至不正确的连接中，以及部分信息泄露和资源管理问题，整体风险相对可控。