Er is een nieuwe versie van Curl verschenen die meer dan twintig kwetsbaarheden verhelpt, waaronder een beveiligingslek dat remote code execution (RCE) mogelijk maakt en werd gevonden door AI-bedrijf Anthropic. Ondanks dat de kwetsbaarheid het remote uitvoeren van code mogelijk maakt is de impact van CVE-2026-92392 beoordeeld als 'high' en niet als kritiek. Dit komt volgens Curl-maintainer Daniel Stenberg omdat misbruik van het probleem lastig is. Desondanks spreekt hij van een 'nasty' Curl-kwetsbaarheid.

Curl is een zeer veel gebruikte library en command-line tool voor het versturen en ontvangen van data via verschillende netwerkprotocollen. CVE-2026-92392 kan zich voordoen bij het uploaden van bestanden via Curl naar een malafide server. Hierdoor kan een use after free ontstaan, waardoor het mogelijk is voor de server om code op het systeem van de client uit te voeren.

Stenberg spreekt van een ernstig probleem. Gezien de voorwaarden waaronder misbruik mogelijk is werd zoals gezegd besloten de impact niet als kritiek maar als high te bestempelen. Kwetsbaarheden met het label high worden zelden in Curl aangetroffen. Sinds 2021 kregen slechts twee kwetsbaarheden dit label. Gebruikers en beheerders worden aangeraden om naar Curl versie 8.23.0 te updaten waarin de problemen zijn verholpen.