Разработчики curl досрочно выпустили версию 8.23.0 из-за опасной уязвимости, позволяющей запустить чужой код на компьютере пользователя. Ошибку обнаружили с помощью ИИ-сканера Anthropic, а специалист смог превратить теоретическую угрозу в работающий эксплойт.
Уязвимость CVE-2026-92392 затрагивает curl и библиотеку libcurl версий от 8.12.0 до 8.22.0 включительно. Проблема появилась в феврале 2025 года и связана с загрузкой файлов по протоколу HTTP/2. Злоумышленник, контролирующий сервер, на который отправляют файл, способен повредить память клиентской программы и при определённых условиях добиться удалённого выполнения кода.
Причина кроется в ошибке типа Use-After-Free, когда программа продолжает обращаться к уже освобождённому участку памяти. Во время передачи файла вредоносный сервер может остановить отправку, частично ответить клиенту и сбросить поток HTTP/2. curl пытается повторить операцию, но при очистке соединения сохраняет указатель на объект передачи, который впоследствии удаляется.
Сервер получает возможность воздействовать на оставшийся указатель и заставить программу обратиться к освобождённой памяти. Специалист продемонстрировал не только аварийное завершение curl, но и выполнение произвольного кода. Для успешной атаки потребовались специально подготовленный файл размером около 135 КБ, управление ответами сервера и точная настройка условий эксплуатации.
Практическая атака существенно сложнее обычного использования уязвимости. Нападающему необходимо знать версию curl, архитектуру процессора, особенности распределения памяти и расположение внутренних структур. Также требуется согласовать две параллельные передачи и уложить вредоносную команду примерно в 23 байта. Разработчики считают наиболее вероятным результатом попытки взлома обычный сбой программы.
Ошибку обнаружила Луна Тонг из Anthropic при помощи нового инструмента OSS Scanner, использующего модели Claude для поиска проблем в открытом коде. Ранее создатель curl Даниэль Стенберг уже оценивал возможности ИИ-систем Anthropic весьма сдержанно. На сей раз специалист представил воспроизводимый сценарий эксплуатации, а не просто подозрительный фрагмент программы.
Команда curl получила отчёт 15 сентября 2026 года и подтвердила проблему в течение нескольких часов. Из-за серьёзности находки обычный восьминедельный цикл выпуска сократили до шести недель. Уязвимости присвоен высокий уровень опасности High. Сведений об атаках в реальных условиях пока нет.
Версия 8.23.0 закрывает сразу 24 уязвимости, причём остальные 23 получили низкий уровень опасности. Исправление главной ошибки свелось к изменению порядка операций очистки в файле lib/multi.c. Разработчикам и администраторам рекомендуют обновить curl и libcurl либо установить патч вручную. Если обновление пока невозможно, следует отказаться от HTTP/2, например, принудительно выбрав HTTP/1.1.