CVE-2026-5501 是 wolfSSL 的一个 X509 证书验证缺陷，影响版本 0.0.0 至 5.9.0。攻击者可以利用此缺陷伪造证书，绕过正常的证书验证流程。该漏洞可能导致未经授权的访问和数据泄露，建议尽快升级至 5.11.0 版本以修复。
此漏洞允许攻击者创建看似来自受信任证书颁发机构 (CA) 的伪造证书。攻击者只需要获取一个受信任 CA 颁发的免费 DV 证书（例如来自 Let's Encrypt），然后构造一个包含 Basic Constraints CA:FALSE 的叶子证书，并使用受信任的根证书对其进行签名。wolfSSLX509verify_cert 函数会错误地返回成功，而不会验证叶子证书的签名。这使得攻击者能够为任何主题名称创建证书，并使用任意的公钥和签名字节。这种攻击可能导致中间人攻击 (MITM)，攻击者可以拦截和篡改通信内容，窃取敏感信息，甚至冒充合法用户。
目前尚无公开的漏洞利用程序 (PoC)，但该漏洞的严重性较高，因为它允许攻击者伪造证书。该漏洞已于 2026 年 4 月 10 日公开，并已添加到 CISA KEV 目录中。由于伪造证书的潜在影响，预计该漏洞可能会受到攻击者的关注，建议尽快采取缓解措施。
Systems utilizing wolfSSL versions 0.0.0 through 5.9.0 are at risk, particularly those relying on the OpenSSL compatibility layer for certificate validation. This includes applications and services that handle sensitive data over TLS, such as web servers, API gateways, and VPN servers. Shared hosting environments using vulnerable wolfSSL versions are also at increased risk due to the potential for cross-tenant attacks.
• nginx: Examine Nginx error logs for unusual certificate validation failures or errors related to certificate chain construction. Use nginx -t to validate configuration after any changes.
grep -i "certificate validation failed" /var/log/nginx/error.log• generic web: Monitor web server access logs for connections using certificates with unexpected or suspicious subject names. Use curl to test certificate validation.
curl -v https://your-website.com --dump-header - | grep Subject:• database (mysql, redis, mongodb, postgresql): While the vulnerability is in wolfSSL, if your database uses wolfSSL for TLS, monitor database connection logs for unusual certificate fingerprints or validation errors. This is less direct but can indicate a compromised connection.
• linux / server: Monitor system logs for unusual TLS connection attempts or errors related to certificate validation. Use journalctl to filter for relevant events.
journalctl -u nginx -g "certificate validation failed"disclosure
patch
漏洞利用状态
EPSS
0.03% (7% 百分位)
CISA SSVC
最有效的缓解措施是升级至 wolfSSL 5.11.0 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：在网络层实施严格的证书吊销列表 (CRL) 检查，并确保所有客户端都配置为验证证书的有效性。此外，可以考虑使用 Web 应用防火墙 (WAF) 或反向代理来拦截和检查 TLS 连接，并阻止任何可疑的证书。由于该漏洞影响的是证书验证过程，因此无法通过配置更改来完全缓解，升级是首选方案。升级后，请验证证书验证流程是否正常工作，并检查系统日志中是否有任何异常。
升级到 wolfSSL 5.11.0 或更高版本以缓解漏洞。 此更新修复了 X.509 证书签名验证中的缺陷，防止接受伪造的叶证书。 请查阅 wolfSSL 文档以获取特定于您环境的升级说明。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-5501 是 wolfSSL 0.0.0–5.9.0 版本中的一个安全漏洞，允许攻击者伪造证书，绕过正常的证书验证流程。
如果您正在使用 wolfSSL 0.0.0 至 5.9.0 版本，则可能受到此漏洞的影响。请立即检查您的系统并升级至 5.11.0 或更高版本。
升级至 wolfSSL 5.11.0 或更高版本是修复此漏洞的最佳方法。如果无法立即升级，请考虑实施临时缓解措施，例如严格的 CRL 检查和 WAF 规则。
目前尚无公开的漏洞利用程序，但由于该漏洞的严重性，预计可能会受到攻击者的关注。
请访问 wolfSSL 的官方网站或安全公告页面，以获取有关 CVE-2026-5501 的更多信息和更新。