Вышла новая версия Curl, которая исправляет более двадцати уязвимостей, включая уязвимость, позволяющую удаленное выполнение кода (RCE), найденную AI-компанией Anthropic. Несмотря на то, что уязвимость позволяет удаленно выполнять код, влияние CVE-2026-92392 было оценено как 'high', а не критическое. По словам поддерживающего Curl Даниэля Стенберга, это связано с тем, что злоупотреблять этой проблемой сложно. Тем не менее, он называет это 'неприятной' уязвимостью Curl.
Curl — это очень широко используемая библиотека и инструмент командной строки для отправки и получения данных через различные сетевые протоколы. CVE-2026-92392 может возникнуть при загрузке файлов через Curl на злонамеренный сервер. Это может привести к ситуации use after free, что позволяет серверу выполнять код на системе клиента.
Стенберг называет это серьезной проблемой. Учитывая условия, при которых возможно злоупотребление, было решено оценить влияние как 'high', а не критическое. Уязвимости с меткой high редко встречаются в Curl. С 2021 года только две уязвимости получили эту метку. Пользователям и администраторам рекомендуется обновиться до версии Curl 8.23.0, в которой проблемы были устранены.