Squid代理伺服器爆發29年舊漏洞「Squidbleed」，可洩露明文HTTP敏感資料

Squid代理伺服器爆發29年舊漏洞

廣泛應用於全球企業、學術機構及網際網路服務提供商（ISP）的開源代理軟體Squid，近日遭揭露存在一個潛伏29年的安全漏洞，編號CVE-2026-47729，研究人員將其命名為「Squidbleed」——其命名方式讓人聯想到當年震驚業界的Heartbleed漏洞。

漏洞性質與影響範圍

根據資安媒體The Hacker News報導，此漏洞允許已獲授權使用該代理伺服器的內部用戶，從其他使用者的明文HTTP請求中擷取敏感片段，可能洩露的資訊包括：

• 使用者帳號與密碼（credentials）
• 工作階段令牌（session tokens）
• 其他敏感的HTTP請求內容

Squid官方將此問題定性為「受信任客戶端的攻擊行為」。這表示攻擊者並非來自網際網路上的任意主機，而是已被允許使用該代理伺服器的內部人員。此特性決定了漏洞對企業內網環境的實質威脅——尤其在多部門、多人共用同一代理伺服器的企業情境下，授權內部用戶可藉此竊聽他人流量中的敏感資訊。

AI協助發現漏洞

值得注意的是，回報此漏洞的安全研究員特別指出，Anthropic的Claude Mythos Preview 大型語言模型在漏洞發現過程中扮演了重要角色。這再次驗證了AI工具在現代資訊安全研究中的應用價值，特別是在輔助代碼審計和安全分析方面的潛力。

部署現況與應對措施

Squid作為開源網頁代理與快取軟體，其部署規模遠超一般認知。全球數千家企業、學術機構、ISP都將其作為內網守門員或流量最佳化工具，因此CVE-2026-47729的曝光範圍涉及眾多關鍵基礎設施。

Squid官方已發佈對應的修補程式。業界建議所有Squid管理員應立即檢視部署現況，儘速評估系統風險並套用修補程式，特別是在多人共用內網代理伺服器的環境中應優先處理。