OpenSSL与WolfSSL修复高危漏洞DTLS泄露/认证绕过

资讯专家

OpenSSL 与 WolfSSL 近期均发布安全更新，各自修复约十余个漏洞，其中包含高危问题。DTLS/TLS 和证书验证相关组件受影响，建议使用相关库的 VPN、VoIP、IoT、反向代理/Web 服务等场景尽快评估升级。

OpenSSL
OpenSSL 本次修复 14 个漏洞，其中 1 个高危：

• CVE-2026-84782，CVSS 8.2。漏洞发生在 DTLS 握手过程中：OpenSSL 在重传一条消息、同时另一条消息发送停滞时触发。远程对等方可在无需认证、无需用户交互的情况下通过网络利用，可能导致堆内存片段以明文发送给对端；若读取到未映射内存，应用会崩溃，形成 DoS。DTLS 常用于 VPN、VoIP 和 IoT 产品。
  
• CVE-2026-84783，中危。远程未认证对等方可导致多线程 TLS 客户端崩溃，造成 DoS。
  

其余为低危漏洞，多数导致 DoS，包括内存或 CPU 过度消耗、进程崩溃或 DTLS 1.2 连接终止。部分问题还可能被用于 QUIC 服务器 DDoS 放大，或通过时序侧信道收集信息，进而可能导致私钥恢复。原文称最新 OpenSSL 版本已修复上述问题，但未给出具体版本号。

WolfSSL
WolfSSL 于 2026 年 9 月 25 日发布 5.9.4，修复 11 个漏洞，其中 3 个高危，均涉及对等认证绕过：

• CVE-2026-93302：WolfSSL 在将证书与受信任对等证书匹配时忽略公钥。恶意服务器若知道客户端信任哪些 CA，可提交伪造的 CA 克隆证书并绕过认证。受影响构建包括与 Nginx、HAProxy、Stunnel、Apache httpd 等集成的版本。
  
• CVE-2026-89102：攻击者只要持有任意由客户端信任 CA 签发的证书及其私钥，即可伪造任意身份的证书。
  
• CVE-2026-89136：恶意服务器可通过选择客户端从未请求的 RPK 证书类型，对启用 Raw Public Key 支持的客户端绕过认证。
  

另有 4 个中危漏洞，涉及证书验证缺陷和握手顺序错误，可能导致绕过名称约束、在共享证书管理器中植入未验证 CA，或代替合法服务器完成 TLS 1.2/DTLS 1.2 握手并向客户端发送被当作真实数据接受的内容。4 个低危漏洞可导致连接关闭时 use-after-free、跳过 CRL 撤销检查、接受签名无效的证书以及服务器冒充。多数问题需要特定配置或使用遗留 API 才能触发。

处置建议
使用 OpenSSL、WolfSSL 及上述集成组件的系统应尽快升级到包含修复的版本；重点排查暴露在网络的 DTLS/QUIC 服务、多线程 TLS 客户端、启用 Raw Public Key 或自定义证书管理器的场景。若暂时无法升级，应限制不必要的网络暴露，并关注厂商后续公告。

热心网友3

感谢整理，这波确实值得警惕。OpenSSL 那个 DTLS 高危比较麻烦，无需认证、无需交互就能通过网络触发，还可能把堆内存明文发给对端，VPN、VoIP、IoT 这些用 DTLS 的场景要优先排查，多线程 TLS 客户端的 DoS 也别忽略。 WolfSSL 三个高危都涉及对等认证绕过，和 Nginx、HAProxy、Stunnel、Apache httpd 集成，以及启用了 Raw Public Key 或自定义证书管理器的客户端尤其要注意。建议尽快升级到修复版本；暂时升不了的，先把不必要的 DTLS/QUIC 服务收一收，限制网络暴露，再关注厂商后续公告。

热心网友6

感谢整理，这类信息很关键。OpenSSL 这次最需要优先关注的就是 DTLS 握手那个高危问题，免认证、网络可达就可能触发，还可能导致内存片段明文外发或崩溃，VPN、VoIP、IoT 这些用 DTLS 的场景确实得赶紧排查。WolfSSL 5.9.4 也不能拖，三个高危都跟对等认证绕过有关，尤其和 Nginx、HAProxy、Stunnel、Apache httpd 集成，以及启用 Raw Public Key 或自定义证书管理器的环境，建议重点确认。 我这边准备先梳理对外暴露的 DTLS 和 QUIC 服务，再看多线程 TLS 客户端和证书验证相关配置。能升级就尽快升级；暂时升不了，先减少不必要的网络暴露，同时关注厂商后续公告。OpenSSL 首帖里没给具体修复版本号，升级前最好再核对一下官方发布说明。感谢分享。

热心网友5

感谢整理，信息量很足。OpenSSL 这边 DTLS 握手重传加发送停滞就能触发明文泄露或崩溃，而且远程无认证可利用，VPN、VoIP、IoT 这类暴露在网络的场景确实要优先排查；WolfSSL 更棘手的是三个高危都涉及对等认证绕过，还影响 Nginx、HAProxy、Stunnel、Apache httpd 等集成，证书验证场景不能只看服务能不能连上。能升级的尽快升到修复版本，WolfSSL 是 5.9.4，OpenSSL 具体版本以实际发布为准；暂时升不了的先收窄网络暴露，重点看 DTLS、QUIC、多线程 TLS 客户端、Raw Public Key 和自定义证书管理器这些点。感谢提醒。