curl 8.22 修复 wolfSSL CA 缓存覆盖信任设置：代理客户端审计指南
curl 项目于 2026 年 9 月 2 日随 curl 8.22.0 发布 CVE-2026-82208。公告描述了一个范围很窄的证书验证问题：应用使用 wolfSSL TLS 后端构建的 libcurl、启用 CA 缓存，并通过 CURLOPT_SSL_CTX_FUNCTION 回调替换信任库。
在这一组合下，回调返回后，libcurl 可能静默重新装入缓存的 CA 库。于是，被回调所选信任库拒绝、却被旧缓存信任的证书，可能被错误接受。curl 项目将严重性评为“低”。
代理自动化团队应关注嵌入 libcurl 的 SDK、采集器与验证工作进程，但不能把范围夸大为所有 curl 或所有代理连接。命令行 curl 不受影响，其他 TLS 后端也不在公告说明的范围内。
核对全部触发条件
只有以下条件全部成立或无法确认时，才应将部署视为可能受影响：
- 运行中的 libcurl 版本为 8.9.1 至 8.21.0；
- 构建使用 wolfSSL TLS 后端；
- 已启用 CA 缓存；
- 应用设置了
CURLOPT_SSL_CTX_FUNCTION回调； - 回调会替换或修改信任库。
公告把早于 8.9.1 的版本和 8.22.0 及更高版本列为不受影响。不要用同一主机上的 curl 命令版本推断应用运行库；应用可能捆绑或动态加载另一套 libcurl。
盘点运行库、后端与回调
以实际部署制品为准，为每个服务记录：
application_build
loaded_libcurl_version
tls_backend
ca_cache_enabled
ssl_context_callback_present
trust_store_replaced
deployment_region应用与信任配置只记录别名，不得记录 CA 私密材料、代理密码、Token、Cookie 或客户标识。
应优先排查长时间运行、会复用 TLS 配置或共享句柄的数据采集、广告验证和市场研究工作进程。问题针对信任库选择，不涉及住宅 IP 轮换、代理会话粘性或 DNS。
按官方顺序修复
curl 公告建议依次选择：
- 将 curl 与 libcurl 升级到 8.22.0；
- 应用官方补丁并重新构建当前版本；
- 前两项暂时不可行时，避免在 wolfSSL 后端使用
CURLOPT_SSL_CTX_FUNCTION。
安全升级必须确认进程实际加载的库，并重启或排空可能保留旧状态的工作进程。可以为无关兼容性问题准备回滚，但回滚制品不得恢复受影响的信任路径。
建立信任隔离测试
只使用授权实验环境中自建的测试端点和测试证书，不得为第三方域名制作误导性证书。
准备两套测试信任配置：
- 缓存基线信任测试 CA A；
- 回调选择的新配置只信任测试 CA B，并拒绝 A。
执行以下序列：
- 在隔离环境初始化与受影响条件一致的客户端配置；
- 用基线配置填充 CA 缓存；
- 安装回调选择的新信任配置；
- 连接使用测试 CA A 证书的端点；
- 断言连接被拒绝；
- 连接使用测试 CA B 证书的端点并断言成功；
- 在 libcurl 8.22.0 上结合连接复用和进程重启重复测试。
通过条件是严格执行回调选择的信任决策。TCP 连接、HTTP 响应或代理隧道成功都不能单独证明验证正确。
分开验证代理与目标信任边界
应用可能同时验证 HTTPS 代理连接和目标 TLS 连接。应明确每个边界使用的信任库与回调：
| 边界 | 预期信任配置 | 验证证据 |
|---|---|---|
| HTTPS 代理 | 获批的代理 CA 集合 | 代理 TLS 结果 |
| CONNECT 内目标 | 获批的目标 CA 集合 | 目标 TLS 结果 |
| 直连测试端点 | 回调所选测试集合 | 受控证书结果 |
| 复用连接 | 边界身份不变 | 连接与信任别名 |
不得为了让测试通过而关闭证书验证，否则会直接移除要验证的安全属性。
观察升级回归
灰度期间监控脱敏后的证书失败原因类别、TLS 握手延迟、新建连接速率、代理隧道成功率、首次请求成功率与有界重试量。正确拒绝数上升，可能说明旧行为过于宽松，应调查而不是放宽验证。
证书拒绝也不是轮换代理出口或改为直连的信号；这些动作只会掩盖信任错误。
升级检查清单
- [ ] 已确认进程实际加载的 libcurl 版本。
- [ ] 已识别每个制品的 TLS 后端。
- [ ] 已定位 wolfSSL 8.9.1 至 8.21.0 构建。
- [ ] 已确认或排除 CA 缓存。
- [ ] 已盘点 SSL 上下文回调与信任替换。
- [ ] 已部署 libcurl 8.22.0 或官方补丁。
- [ ] 已重启或排空长驻工作进程。
- [ ] 替换配置后测试 CA A 会被拒绝。
- [ ] 测试 CA B 按预期被接受。
- [ ] 已分开验证代理与目标信任边界。
- [ ] 未引入任何证书验证绕过。
- [ ] 日志与测试夹具不含凭证或私密材料。
相关 98IP 内容包括代理凭证轮换、curl 代理认证 407 排错和代理故障转移恢复演练。
常见问题
命令行 curl 会受影响吗？
不会。公告明确说明命令行工具不受影响；相关路径是满足特定 wolfSSL、CA 缓存与回调条件的 libcurl 应用。
OpenSSL 或其他 TLS 后端会受影响吗？
公告说明问题仅存在于 wolfSSL 后端。应核对实际运行后端，不能只依赖构建文档。
能否临时关闭证书验证？
不能，这会造成范围更大的信任风险。应升级、打补丁，或按官方建议避开受影响的回调组合。
轮换代理 IP 能缓解问题吗？
不能。代理轮换改变路由，不会改变客户端验证证书时使用的 CA 库。
合规说明
仅使用自有或获授权的测试证书、域名和端点。保护信任库材料，遵守事件响应与变更控制要求，并只将代理用于合法、遵守目标条款、隐私规则和速率限制的工作负载。
资料说明：curl 项目《wolfSSL CA-cache hit overrides callback》，CVE-2026-82208，发布于 2026 年 9 月 2 日；curl 8.22.0 发布说明，2026 年 9 月 2 日。
