- 重要度
- 重要度：低 定例のまとめ更新
- 公表日
- 2026.10.15
- 原因の分類
- ライブラリの脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- curlの修正版v8.23.0で、24件の脆弱性が直された。
- 深刻度Highの1件は、悪意あるサーバーからコードを実行される恐れがある。
- v8.12.0からv8.22.0の利用者は、v8.23.0への更新が推奨される。
データ転送ライブラリcurlの修正版v8.23.0が2026年10月14日に公開され、全24件の脆弱性が修正された。深刻度HighとされたCVE-2026-92392は、HTTP/2を使ったアップロード中のメモリ解放後使用が起きる可能性があるもので、悪意あるサーバーが特定の条件を満たすとリモートからコードを実行される恐れがある。影響を受けるのはv8.12.0からv8.22.0まで。
確認された経路・公表元の推定
- 悪意あるサーバーが、HTTP/2を使ったアップロード中に特定の条件を満たす。
- メモリ解放後使用が起きる可能性があり、リモートからコードを実行される恐れがある。
- 2026年10月14日に修正版v8.23.0が公開され、24件の脆弱性が修正された。
根拠の要点
修正版v8.23.0で全24件を修正したことは、資料が事実として説明している。深刻度HighのCVE-2026-92392について、資料はHTTP/2を使ったアップロード中のメモリ解放後使用が起きる可能性があると書いている。攻撃への利用や被害の報告は記載がない。
資料の基準時点：2026年10月15日時点の記事
当時、対策できたのか
判定保留
資料は修正版の公開と推奨対応を示すが、攻撃時点でどの版が使われていたかや、利用者の対応状況は書かれていない。攻撃への利用の記載もないため、対策の欠落や発覚時の未発見は判断できず、判定を保留とした。
公表された対策
- curl v8.23.0へのアップデート
- ローカルバージョンへのパッチ適用
- HTTP/2の使用中止
まだ分からないこと
- 攻撃への利用や、被害を受けた組織・個人の有無は資料に記載がない。
- CVE-2026-92392以外の23件の脆弱性の内容は資料に書かれていない。
- 各OSや製品に含まれるcurlの版への対応状況は資料に書かれていない。