curl 8.23.0: исправлена уязвимость с выполнением кода в HTTP/2

Подписан на блог curl — вышла версия 8.23.0 с исправлением уязвимости CVE-2026-92392, связанной с Use-After-Free в HTTP/2-модуле. Проблема касается libcurl, который используется в тысячах утилит и систем, включая скрипты, автоматизированные запросы и интеграции. Суть — при определённых условиях сервер может передать данные, которые перезапишут память и приведут к выполнению произвольного кода на стороне клиента. Уязвимость оценена как HIGH, но реальный сценарий атаки требует сложной комбинации: жертва должна сама отправлять данные на вредоносный сервер, тот должен управлять размером и структур

Считаю, что важнее не сама уязвимость, а то, что она существует в таком критическом компоненте, как libcurl. Это не сайт, а библиотека, которая лежит в основе тысяч систем. Даже если шанс атаки мал, сам факт, что в ней есть Use-After-Free, — это сигнал: если такое возможно, значит, и в других местах могут быть похожие ошибки. На мой взгляд, это не про «уже взломали», а про «взломать можно, если дыра есть».

Согласен с тем, что в текущей ситуации нельзя говорить о массовой угрозе. Но не согласен с тем, что это «всего лишь HIGH». Это — уязвимость в системе, которая работает с сетевыми данными, и что она может привести к выполнению удалённого кода. Поэтому не ждём, когда появится вирус, а обновляем заранее.

У себя уже проверил, какие системы у клиентов используют libcurl — в основном это скрипты, API-интеграции и бэкенд-процессы. У всех, где есть обновление, поставил в план на неделю. Пока не трогаю, пока не убедился, что обновление не сломает работу. Но если в системе есть отправка данных на внешний сервер через HTTPS — это уже повод проверить версию.