Security · 14.10.2026
Eine kritische Schwachstelle in curl ermöglichte Schadcode-Ausführung bei HTTP/2-Uploads. Das curl-Projekt hat das Problem mit der Version 8.23.0 behoben.
Eine neu entdeckte Schwachstelle im weit verbreiteten Werkzeug curl ermöglicht es bösartigen Empfängerservern, den Arbeitsspeicher des anfragenden Clients zu manipulieren. Dies kann im schlimmsten Fall dazu führen, dass willkürlicher Schadcode auf dem System ausgeführt wird, das den Upload initiiert hat (Client-Side Code Execution). Die Entwickler des curl-Projekts haben das Problem analysiert und am 14. Oktober mit der Veröffentlichung der Version 8.23.0 behoben.
Das Werkzeug curl sowie die zugrundeliegende Bibliothek libcurl gehören zur Standardausstattung fast aller modernen IT-Infrastrukturen. Sie sind sowohl in Linux-Distributionen als auch in Windows-Umgebungen fest integriert und werden in unzähligen automatisierten Skripten, Deployment-Pipelines und Software-Anwendungen im DACH-Raum für den Datentransfer genutzt. Da ein Proof-of-Concept (PoC) bereits die erfolgreiche Ausführung von Code demonstriert hat, stellt die Schwachstelle ein reales Risiko dar. Angreifer, die Kontrolle über einen vom Unternehmen genutzten Webserver erlangen oder sich über Man-in-the-Middle-Angriffe einklinken, könnten diese Lücke nutzen, um Administrations- und Client-Systeme zu kompromittieren.
IT-Verantwortliche und Systemadministratoren sollten zeitnah folgende Maßnahmen ergreifen:
Der Vorfall verdeutlicht die Relevanz von Supply-Chain-Sicherheit. Da curl eine der am häufigsten genutzten Open-Source-Bibliotheken weltweit ist, müssen Administratoren Updates für solche Basis-Tools im Rahmen ihres Patch-Managements stets priorisiert behandeln.
Quelle: The Hacker News