CVE-2026-4873描述了curl 8.12.0到8.19.0版本中存在的TLS绕过漏洞。该漏洞允许在TLS连接建立失败时，curl错误地重用先前未加密的连接，导致后续请求在未加密的情况下传输数据，从而可能泄露敏感信息。建议尽快升级至8.19.1版本以消除此风险。
影响与攻击场景
该漏洞的影响在于攻击者可以绕过TLS加密，窃取通过curl传输的敏感数据。例如，如果curl最初通过IMAP、SMTP或POP3协议以明文方式连接到服务器，后续的请求可能会在没有TLS加密的情况下发送，攻击者可以拦截并读取这些数据。这可能导致用户名、密码、电子邮件、文件内容等敏感信息的泄露。由于curl被广泛应用于各种应用程序和脚本中，该漏洞的潜在影响范围非常广泛，可能影响到大量用户和系统。
利用背景
目前，该漏洞的公开利用情况尚不明确，但由于其潜在的严重性，建议尽快采取措施进行修复。该漏洞已发布到NVD（美国国家漏洞数据库），CISA（美国网络安全和基础设施安全局）也已发布相关安全公告。建议持续关注安全社区的动态，以便及时了解最新的漏洞信息和利用情况。
威胁情报
漏洞利用状态
EPSS
0.02% (6% 百分位)
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- EPSS 更新日期
缓解措施和替代方案
为了缓解CVE-2026-4873漏洞的影响，首要措施是立即升级curl至8.19.1或更高版本。如果升级过程导致系统不稳定，可以考虑回滚至之前的稳定版本，并密切监控curl的流量。此外，可以使用Web应用防火墙（WAF）或代理服务器来检测和阻止可疑的curl请求。配置WAF规则以阻止明文传输的敏感数据，并限制curl的访问权限。如果无法立即升级，可以尝试禁用curl的连接池功能，但这可能会降低curl的性能。
修复方法翻译中…
Actualice a la versión 8.19.1 o superior de curl para evitar la reutilización incorrecta de conexiones que ignora los requisitos de TLS. Esto asegura que las comunicaciones se cifren adecuadamente, protegiendo la confidencialidad de los datos transmitidos.
常见问题
什么是CVE-2026-4873 — TLS绕过漏洞在curl中？
CVE-2026-4873描述了curl 8.12.0到8.19.0版本中存在的TLS绕过漏洞，允许在TLS连接失败时，curl错误地重用先前未加密的连接，导致后续请求在未加密的情况下传输数据。
我是否受到CVE-2026-4873在curl中的影响？
如果您的系统上安装了curl 8.12.0到8.19.0版本，则可能受到此漏洞的影响。请立即检查您的curl版本并升级至8.19.1或更高版本。
如何修复CVE-2026-4873在curl中的漏洞？
最有效的修复方法是升级curl至8.19.1或更高版本。如果升级过程导致问题，可以考虑回滚至之前的稳定版本并采取其他缓解措施。
CVE-2026-4873是否正在被积极利用？
目前，该漏洞的公开利用情况尚不明确，但由于其潜在的严重性，建议尽快采取措施进行修复。
在哪里可以找到curl官方关于CVE-2026-4873的公告？
请访问curl官方网站或NVD（美国国家漏洞数据库）以获取更多信息：https://nvd.nist.gov/vuln/detail/CVE-2026-4873
立即试用 — 无需账户
上传任意清单文件（composer.lock、package-lock.json、WordPress插件列表等）或粘贴组件列表，即可立即获得漏洞报告。上传文件只是开始：注册账号后，您将获得持续监控、Slack/邮件提醒、多项目管理和白标报告等功能。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...