Aisle 在 Curl 中发现 6 个新 CVE，包括有史以来最老的安全问题
Aisle 研究团队在 curl 中发现了六个新的 CVE，其中包括有史以来报告的最古老漏洞（超过25年）。这使得 curl 8.21.0 版本的 CVE 总数达到18个，Aisle 贡献了三分之一。这些发现凸显了模型无关的 AI 安全系统的有效性。
近日，网络安全公司 Aisle 的研究团队宣布在广泛使用的数据传输库 curl 中发现了六个新的安全漏洞（CVE），其中包括有史以来报告的最古老漏洞，历史超过 25 年。Curl 运行在超过 300 亿台设备上，是世界上最关键的软件之一，从操作系统到 NASA 的 Ingenuity 直升机都依赖它。
2026 年 5 月 11 日，curl 的创建者 Daniel Stenberg 宣布 Anthropic 的 Mythos 模型发现了一个 CVE，这引发了一波研究热潮，最终导致 curl 8.21.0 版本创纪录地出现 18 个 CVE。Aisle 以 6 个 CVE 的成绩领先所有安全组织，而第二名的 AI 组织只发现了 3 个。
其中最值得注意的是 CVE-2026-8932，这是 curl 中报告的最古老漏洞，存在于自 2001 年 3 月 22 日发布的 curl 7.7 版本中。该漏洞涉及 mTLS 连接重用，libcurl 可能在客户端证书或私钥设置更改后仍然重用现有连接，导致认证绕过。
其他漏洞涵盖多种类型：CVE-2026-8926 是 .netrc 凭据处理中的凭据混淆；CVE-2026-8925 是 SASL 认证中的双重释放；CVE-2026-9080 是多 socket 回调生命周期中的释放后使用；CVE-2026-9547 是 SSH 主机验证不当；CVE-2026-10536 是 HTTP/2 流依赖中的释放后使用。
Aisle 还报告了其他几个内存安全问题，包括 curl_easy_duphandle() 中的释放后使用、URL API 中的堆越界读取，以及 HSTS 共享禁用时的释放后使用和双重释放。
这些发现再次证明，精心设计的模型无关安全系统能够在网络安全任务上与前沿模型竞争，甚至以更低的成本胜出。Aisle 的平台还自动生成了三个 CVE 的修复补丁，展示了较小模型在明确定义的安全任务中的优势。Aisle 呼吁所有用户更新到 curl 8.21.0 版本。