【漏洞预警】Traefik 爆高危漏洞，客户端证书校验可能被绕过（CVE-2026-114656）

发布日期： 2026 年 10 月 22 日
风险等级： 高危（High）
漏洞编号： CVE-2026-114656
涉及镜像： library/traefik — 轩辕镜像 · Docker Hub
CVSS： 7.5（High，CVSS 3.1）；CVSS 4.0 为 6.9
披露时间： GHSA 于 2026 年 10 月 7 日发布；NVD 现已挂出 CVE-2026-114656
相关公告： GHSA-2272-4vv8-65ww

---

一、漏洞概述

Traefik 是常用的反向代理。路由规则里如果使用了否定 Host（路径匹配，并且 Host 不是某个名字），这条路由仍会被算作该 Host 的服务方。

当它和另一条真正服务该 Host、并且配置了非默认 tls.options 的路由发生冲突时，Traefik 会退回默认 TLS 选项。默认选项不要求客户端证书，RequireAndVerifyClientCert 因此失效。依赖 mTLS 的入口，未持有证书的客户端可能直达后端。

这条和 10 月 7 日已经写过的其他 Traefik 公告不是同一件事。GHSA 当时标为 Moderate（CVSS 4.0 为 6.9）。NVD 现在给出 CVSS 3.1 7.5。

---

二、漏洞状态

统计截止： 2026 年 10 月 22 日（UTC+8）

v3.0 至 v3.6 已停止维护，没有单独补丁，直接升到 v3.7.16。

---

三、影响范围

1. 版本

2. 典型受影响场景

对外 TLS 入口依赖客户端证书，并且路由里同时存在否定 Host 规则。没有启用 mTLS、也没有否定 Host 规则的实例，不会踩中这条回退。版本仍低于修复起点的，建议按上表升级。

---

四、修复建议

1. 升级官方镜像（推荐）

bash
docker pull docker.xuanyuan.run/library/traefik:v3.7.16

仍在 v2 线的：

bash
docker pull docker.xuanyuan.run/library/traefik:v2.11.60

将 Compose、Kubernetes 或 Helm 中的镜像改为上述标签后滚动升级。

Docker Hub： library/traefik

轩辕镜像： library/traefik

发行说明：v2.11.60 · v3.7.16。

2. 暂时不能升级时

在静态配置里打开 core.strictTLSOptions，冲突时不再退回不要求证书的默认 TLS 选项。这只挡住这条回退，不能代替升级。打开之后检查原本依赖「冲突时自动退回」的路由是否还能按预期提供服务。

---

五、临时缓解措施

在升到修复版之前：

1. 不要把依赖 mTLS、且路由里有否定 Host 的入口继续暴露给未持证客户端
   证书校验可能已经退回默认选项。

2. 可以先打开 core.strictTLSOptions
   用来关掉冲突回退。升级仍然要做。

3. 不要停在 v3.7.13 就当作后续公告也已覆盖
   这条从 v3.7.13 起包含，10 月 21 日的 ForwardAuth 问题需要 v3.7.16。v2 对应的是 v2.11.60。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Traefik 的版本修复。

• 站内页：library/traefik。拉取命令为 docker.xuanyuan.run/library/traefik:v3.7.16 或 docker.xuanyuan.run/library/traefik:v2.11.60。
• 加速拉取不会自动变成这两个标签。
• 配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• GitHub Advisory：GHSA-2272-4vv8-65ww
• NVD：CVE-2026-114656
• 发布说明：v2.11.60 · v3.7.16
• Docker Hub：library/traefik
• 轩辕站内镜像页：library/traefik

---

轩辕镜像安全团队
2026 年 10 月 22 日