Security · 14.10.2026
Das neue curl-Update behebt 24 Sicherheitslücken, darunter eine kritische HTTP/2-Schwachstelle zur Codeausführung, und entfernt die veraltete SMB-Unterstützung.
Das weit verbreitete Kommandozeilenwerkzeug curl hat in seiner neuesten Version 8.12.0 gravierende Änderungen erfahren. Entwickler haben insgesamt 24 Sicherheitslücken geschlossen und gleichzeitig die native Unterstützung für das Netzwerkprotokoll Server Message Block (SMB) vollständig entfernt. Die kritischste der behobenen Schwachstellen ermöglichte unter bestimmten Umständen eine Remotecodeausführung über manipulierte HTTP/2-Verbindungen.
Für IT-Verantwortliche und Administratoren in der DACH-Region ist dieses Update von hoher Relevanz, da curl in fast allen modernen Betriebssystemen – einschließlich Windows 10 und 11 sowie Windows Server – und in unzähligen Softwarepaketen als Standardkomponente integriert ist. Schwachstellen in dieser Bibliothek können somit weitreichende Auswirkungen auf die gesamte Unternehmensinfrastruktur haben. Die schwerwiegendste Lücke, die vom KI-Unternehmen Anthropic entdeckt wurde, betrifft die Verarbeitung von HTTP/2-Datenströmen und könnte im schlimmsten Fall dazu führen, dass Angreifer Schadcode mit den Rechten des ausführenden Prozesses einschleusen. Der Wegfall des SMB-Protokolls ist zudem ein wichtiger Schritt zur Reduzierung der Angriffsfläche, da die bisherige Implementierung als veraltet und fehleranfällig galt. Systeme, die für Dateiübertragungen zwingend auf die SMB-Funktion von curl angewiesen waren, könnten nach dem Update jedoch Funktionsstörungen aufweisen.
Administratoren sollten zeitnah prüfen, welche Systeme und internen Skripte curl aktiv nutzen. Das Update auf die Version 8.12.0 sollte zügig eingespielt werden, sobald die entsprechenden Pakete von den Betriebssystem-Distributoren oder Microsoft über die regulären Update-Kanäle bereitgestellt werden. Zudem muss verifiziert werden, ob bestehende Automatisierungen oder Legacy-Anwendungen auf die nun entfernte SMB-Unterstützung von curl angewiesen sind. Sollte dies der Fall sein, müssen diese Prozesse auf alternative Übertragungsmethoden oder dedizierte SMB-Clients umgestellt werden, um Betriebsunterbrechungen zu vermeiden. Private Power-User, die curl manuell für eigene Skripte nutzen, sollten die Binärdateien auf ihren Systemen manuell aktualisieren.
Mit dem radikalen Schritt, das fehleranfällige SMB-Protokoll zu entfernen und zwei Dutzend Sicherheitslücken zu schließen, stärken die curl-Entwickler die Robustheit des Tools erheblich. Für Unternehmen bedeutet dies zwar einen kurzen Prüfaufwand bei älteren Skripten, erhöht jedoch langfristig die Sicherheit der IT-Infrastruktur im DACH-Raum.
Quelle: heise Security