データ転送ライブラリ「curl」に特定の条件でリモートからコードを実行される脆弱性

データ転送ライブラリ「curl」に深刻度Highを含む24件の脆弱性

　データ転送ライブラリ「curl」の最新安定版v8.23.0が、10月14日に公開された。全24件の脆弱性を修正したセキュリティアップデートとなっている。

　24件のうち、1件が深刻度Highとされており、そのほかの脆弱性の深刻度はLow。深刻度がHighと評価された「CVE-2026-92392」は、HTTP/2を使ったアップロード中にメモリの解放後使用（Use-After-Free）が引き起こされる可能性があるというもの。悪意のあるサーバーが特定の条件を満たした場合、最悪の場合リモートからコードを実行される恐れがある。

　影響を受けるのは「curl」のコマンドラインツールを含むv8.12.0からv8.22.0までで、v8.12.0より前のバージョンには影響しない。

　「curl」の開発チームは、「curl」v8.23.0へのアップデートのほか、ローカルバージョンへのパッチ適用、HTTP/2の使用中止を推奨している。

　「curl」は、さまざまなプロトコルでデータ転送を行うオープンソース・クロスプラットフォーム対応のライブラリおよびそのコマンドラインツール（ライセンスは独自）。PCだけでなく、スマートフォンや家電、自動車に至るさまざまなデバイスで利用されており、最近のWindowsにも標準で含まれている。ソースコードのダウンロードは公式サイト「curl.se」などから行える。