Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 要求 curl 使用“.netrc”文件来查找凭据，同时指定一个带用户名（无密码）的 URL（如“”）https://user@example.com/`时，如果存在与指定用户匹配项，则 curl 可能会错误地获取并使用在该主机的“.netrc”文件中为此类用户设置的密码。（CVE-2026-8926）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 curl 版本为低于 8.21.0 的 8.11.1。因此，它受到凭据泄露漏洞的影响：

  - 当要求 curl 使用 .netrc 文件查找凭据，同时指定一个带有用户名的 URL 时，curl 可能会错误地获取和使用在 .netrc 文件中设置的其他用户的密码。
    (CVE-2026-8926)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS 主机上安装的多个程序包受到公告 USN-8487-1 中提及的多个漏洞影响。

    Andrew Nesbitt 发现，即使 TLS 配置不匹配，curl 在基于 STARTTLS 的连接升级期间可重复使用现有的实时连接。远程攻击者可能利用此问题导致 curl 使用非预期 TLS 配置。（CVE-2026-8286）

    Muhamad Arga Reksapati 发现当涉及不同服务时，curl 错误地将连接重新用于经过协商认证的请求。远程攻击者可能利用此漏洞访问仅限其他服务认证的资源。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS 和 Ubuntu 25.10 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-8458)

    已发现 curl 在某些情况下未正确处理 cookie 解析。远程攻击者可能利用此问题设置会传输到无关第三方域的 Cookie。
    此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS 和 Ubuntu 25.10 和 Ubuntu 26.04 LTS。(CVE-2026-8924)

    Joshua Rogers 发现 curl 在处理 SASL 认证时可双重释放 GSASL 上下文。远程攻击者可能利用此问题造成拒绝服务，或执行任意代码。
    此问题仅影响 Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 25.10 和 Ubuntu 26.04 LTS。
    (CVE-2026-8925)

    Joshua Rogers 发现，当在没有密码的情况下在 URL 中指定用户名时，curl 可能会从 .netrc 文件中选择错误的密码。远程攻击者可能利用此问题来获取敏感信息。此问题仅影响 Ubuntu 25.10 和 Ubuntu 26.04 LTS。(CVE-2026-8926)

    Ady Elouej 发现，curl 在重复使用具有环境变量代理配置的句柄时，未能清除请求之间的代理认证状态。远程攻击者可能利用此问题获取敏感凭证。(CVE-2026-8927)

    Guannan Wang、Zhanpeng Liu、Jiashhuo Liang 和 Guancheng Li 发现 curl 在收到指示时未能正确清除代理认证凭据。远程攻击者可能利用此问题获取敏感凭证。此问题仅影响 Ubuntu 25.10 和 Ubuntu 26.04 LTS。
    (CVE-2026-9079)

    Joshua Rogers 发现在基于事件的套接字回调中调用 curl_easy_pause（） 时，curl 包含释放后使用。远程攻击者可能利用此问题，造成拒绝服务或执行任意代码。此问题仅影响 Ubuntu 25.10 和 Ubuntu 26.04 LTS。
    (CVE-2026-9080)

    Eunsoo Kim 发现 curl 可在强制证书验证失败之前发送关于恢复的 TLS 会话的早期数据。中间机攻击者可能利用此问题获取敏感信息。此问题仅影响 Ubuntu 25.10 和 Ubuntu 26.04 LTS。(CVE-2026-9545)

    Joshua Rogers 发现 curl 在使用 SSH 密钥回调进行 SCP 和 SFTP 传输时，未正确拒绝主机密钥类型不匹配的问题。中间机攻击者可能利用此问题冒充受信服务器。此问题仅影响 Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 25.10 和 Ubuntu 26.04 LTS。(CVE-2026-9547)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 libcurl 版本为低于 8.21.0 的 8.11.1。因此，它会受到凭据披露漏洞的影响：

  - 要求 curl 使用 .netrc 文件查找凭据，同时指定含用户名（无密码）的 URL 时，如果存在特定用户的匹配项，则 curl 可能会错误地获取和使用在该主机的 .netrc 文件中设定的密码。
    (CVE-2026-8926)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
322432	Linux Distros 未修补的漏洞：CVE-2026-8926	Nessus	Misc.	2026/6/24	2026/7/29	critical
323004	curl 8.11.1 < 8.21.0 netrc 密码泄漏	Nessus	Misc.	2026/6/26	2026/7/8	critical
324983	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS：curl 漏洞 (USN-8487-1)	Nessus	Ubuntu Local Security Checks	2026/7/3	2026/7/8	critical
326235	libcurl 8.11.1 < 8.21.0 netrc 错误用户密码泄漏（CVE-2026-8926）	Nessus	Misc.	2026/7/10	2026/7/13	critical

检测

插件搜索

critical

critical

critical

critical