curl 8.23.0 выйдет раньше срока из-за серьёзной уязвимости

Проект curl объявил, что 14 октября 2026 года выпустит версию 8.23.0 — очередную в бесконечной череде обновлений. По словам разработчиков, каждый новый релиз они считают лучшим из всех, что делали прежде, и этот не исключение: за ним стоят десятилетия накопленного опыта и кропотливой шлифовки.

Релиз сдвинули вперёд

На этот раз цикл разработки решили сократить и выпустить 8.23.0 на несколько недель раньше запланированного. Причиной стал один конкретный отчёт об уязвимости, вскрывший довольно существенный изъян. Новая версия избавится от этой проблемы, а заодно устранит ещё двадцать одну уязвимость — менее серьёзную.

Уровень HIGH

В curl не доверяют системе оценок CVSS и присваивают каждой CVE лишь один из четырёх уровней опасности: LOW, MEDIUM, HIGH или CRITICAL. Рейтинг HIGH за всё время с 2021 года выдавался лишь дважды; последним был CVE-2023-38545, способный привести к переполнению буфера в куче.

Теперь к ним добавляется третий случай — CVE-2026-92392.

Подробности откроют через неделю

Все детали CVE-2026-92392 станут публичными утром 14 октября по европейскому времени, синхронно с выходом исправленной версии 8.23.0. Одновременно будут выпущены и обновлённые сборки Rock-solid curl.

Ради безопасности пользователей и всей инфраструктуры, опирающейся на curl, до этой даты никакие подробности не раскрываются. Заранее о проблеме и исправлении уведомят рассылку distros@openwall и платных клиентов технической поддержки.

Дэниел Стенберг пообещал после 14 октября опубликовать отдельную запись с разбором: как уязвимость можно спровоцировать, почему она всё же не означает конца света и что в проекте делают, чтобы бороться с подобным классом проблем.

Источник: Lobsters