curl 8.23.0 schließt 24 Lücken, HTTP/2-Fehler mit Exploit, SMB entfällt

Das curl-Projekt hat am 14. Oktober 2026 curl 8.23.0 veröffentlicht und dabei 24 Sicherheitslücken in curl und libcurl offengelegt. Die schwerste, CVE-2026-92392, ist ein Use-After-Free bei HTTP/2-Uploads, für den der Melder eine Codeausführung auf dem hochladenden Client vorgeführt hat. Gleichzeitig entfernt das Projekt die Unterstützung für SMB und SMBS vollständig.

Für Admins heißt das: libcurl steckt in Distributionen, Container-Images und unzähligen Anwendungen, oft ohne dass es sichtbar ist. Die HTTP/2-Lücke betrifft curl 8.12.0 bis 8.22.0 und sollte zeitnah im regulären Patchzyklus geschlossen werden, Systeme mit Uploads zu fremden Servern vorrangig. Nicht betroffen sind Versionen vor 8.12.0 sowie Builds ohne HTTP/2-Unterstützung. Laut Debian-Tracker enthält Debian 12 den verwundbaren Code nicht.

Was ist passiert?

curl 8.23.0 ist laut Projektblog das 277. Release mit 281 Fehlerkorrekturen und 24 Sicherheitskorrekturen. Die Sicherheitsübersicht von curl listet alle 24 CVEs mit Veröffentlichungsdatum 14.10.2026. 23 davon stuft das Projekt als niedrig ein, CVE-2026-92392 als hoch. Laut The Hacker News ist es die erste als hoch eingestufte Lücke seit dem SOCKS5-Heap-Overflow vom Oktober 2023. Das Projekt hatte den Fix bereits am 7. Oktober angekündigt und seinen Releasezyklus dafür um zwei Wochen verkürzt.

Der Fehler entsteht, wenn ein Server während eines HTTP/2-Uploads einen RST_STREAM mit dem Grund HTTP_1_1_REQUIRED oder REFUSED_STREAM sendet. curl hinterlässt dann einen Zeiger auf ein bereits freigegebenes Transferobjekt. Gemeldet wurde die Lücke am 15. September über HackerOne, als Melder nennt curl Luna with Claude, Anthropic. Der Bericht mit Server-Skript und reproduzierbarem Docker-Image ist seit dem 14. Oktober öffentlich.

Wer ist betroffen?

• CVE-2026-92392 betrifft curl und libcurl 8.12.0 bis einschließlich 8.22.0, sowohl das Kommandozeilenwerkzeug als auch die Bibliothek.
• Bereinigt sind 8.23.0 sowie die Zweige 8.20.2, 8.16.2 und 8.14.3.
• Debian 13 erhält den Fix mit Paketversion 8.14.1-2+deb13u7 über DSA-6558-1, Debian 12 ist laut Debian nicht betroffen.
• Für einen Angriff muss der Client per HTTP/2 an einen vom Angreifer kontrollierten Server hochladen, dessen Zertifikat die Prüfung besteht.
• Die weiteren 23 Lücken betreffen je nach CVE unterschiedliche Versionsbereiche, teils zurück bis curl 7.10.8.

Unter den niedrig eingestuften Lücken sind für Unternehmen vor allem Credential-Themen relevant: CVE-2026-86414 erlaubt einem HTTP-Proxy, Zugangsdaten des Zielservers abzugreifen, mehrere CVEs betreffen Negotiate-Anmeldedaten bei Weiterleitungen. Dazu kommen ein Umgehen der Hostschlüsselprüfung bei Weiterleitungen auf SFTP oder SCP (CVE-2026-86410) und eine IMAP-Befehlsinjektion bei aktivem CURLOPT_CRLF (CVE-2026-87864).

Wie kritisch ist das?

Technisch handelt es sich um eine Remote Code Execution auf der Client-Seite, ausgelöst durch einen bösartigen Server. Die Hürden sind laut Advisory aber hoch: Der Angreifer muss unter anderem exakte curl-Version, Architektur, libc-Allokator und Heap-Layout kennen, zwei parallele Transfers zeitlich steuern und kommt mit etwa 23 Byte Befehlslänge aus. curl-Maintainer Daniel Stenberg schreibt, der wahrscheinlichste Ausgang eines Angriffs sei ein Absturz. Deshalb lautet die Einstufung hoch und nicht kritisch. Einen CVSS-Wert veröffentlicht curl nicht. Berichte über Angriffe in freier Wildbahn liegen laut The Hacker News nicht vor.

Was sollten Admins jetzt tun?

• Inventar prüfen: Mit curl --version und über den Paketmanager die installierte curl- und libcurl-Version auf Servern und Clients ermitteln.
• Distributionsupdates einspielen, sobald verfügbar, und Debian-13-Systeme auf 8.14.1-2+deb13u7 bringen.
• Container-Images neu bauen und mit einem Scanner auf mitgelieferte libcurl-Versionen prüfen, auch bei statisch gelinkten Anwendungen.
• Bis zum Update kann HTTP/2 für Uploads deaktiviert werden: Im Werkzeug per --http1.1, in Anwendungen per CURLOPT_HTTP_VERSION mit CURL_HTTP_VERSION_1_1.
• SMB-Nutzung suchen: Skripte und Jobs mit smb:// oder smbs:// URLs funktionieren mit 8.23.0 nicht mehr und brauchen einen Ersatz wie smbclient oder eine Einbindung per CIFS-Mount.
• Proxy-Umgebungen mit Basic- oder Kerberos-Anmeldung wegen CVE-2026-86414 bevorzugt aktualisieren.

Einordnung für Unternehmen

Die Masse von 24 CVEs klingt alarmierend, die meisten Lücken sind aber niedrig eingestuft und an spezielle Konfigurationen gebunden. Der eigentliche Aufwand liegt in der Verbreitung von libcurl: Sie steckt in Paketmanagern, Monitoring-Agenten, Backup-Werkzeugen und Container-Basisimages. Ein reines Systemupdate reicht deshalb nicht, auch mitgelieferte Kopien in Anwendungen und Images gehören auf die Liste. Der SMB-Wegfall ist für die meisten Umgebungen unkritisch, kann aber vergessene Automatisierungen lahmlegen, die Dateien per curl von Windows-Freigaben holen. SMB war laut curl bereits seit Version 8.20.0 nur noch optional einkompiliert.

Passende Anleitungen auf S-EDV

• Docker-Images mit Trivy scannen: libcurl-Versionen in Container-Images und SBOMs finden.
• Automatische Sicherheitsupdates mit unattended-upgrades: curl-Updates auf Debian und Ubuntu zuverlässig einspielen.
• Samba-Fileserver als Domänenmitglied: Hintergrund zu SMB-Freigaben, falls Abläufe ohne curl neu gebaut werden müssen.

Quellen

• curl: Übersicht der Sicherheitslücken
• curl: Advisory CVE-2026-92392, HTTP/2 Upload Use-After-Free
• curl: Changelog 8.23.0 mit Entfernung von SMB
• Daniel Stenberg: Release-Notiz zu curl 8.23.0
• Daniel Stenberg: Erklärung zur HTTP/2-Lücke
• Debian Security Tracker: CVE-2026-92392
• The Hacker News: Bericht zur HTTP/2-Lücke und dem Exploit
• heise online: Neue curl-Version entfernt SMB-Unterstützung