curl 8.23.0, kod çalıştırmaya yol açabilen yüksek önemdeki HTTP/2 açığını kapattı

curl projesi 14 Ekim 2026'da yayımladığı 8.23.0 sürümüyle, curl ve libcurl'ün HTTP/2 üzerinden veri yüklerken yaşadığı yüksek önem dereceli use-after-free açığı CVE-2026-92392'yi kapattı. Projenin güvenlik duyurusuna göre açık, komut satırı aracı dahil 8.12.0 ile 8.22.0 arasındaki tüm sürümleri etkiliyor ve istemcinin kötü niyetli bir sunucuya veri yüklediği senaryolarda teorik olarak uzaktan kod çalıştırmaya dönüştürülebiliyor. libcurl sayısız işletim sistemi, cihaz ve uygulamanın içinde yer aldığından düzeltmenin pek çok üreticinin güncellemesine yansıması bekleniyor.

Neler oldu?

curl duyurusuna göre açık 15 Eylül 2026'da projeye bildirildi. Bildirimi yapan olarak "Luna with Claude, Anthropic" gösteriliyor, yamayı ise Stefan Eissing yazdı. The Hacker News'in aktardığına göre proje, düzeltmeyi yayımlamak için sürüm takvimini iki hafta öne çekti ve 7 Ekim'de yüksek önemde bir düzeltme geleceğini önceden duyurdu. Aynı habere göre 8.23.0 toplam 24 CVE'yi kapatıyor; diğer 23'ü düşük önemde. The Hacker News, bunun Ekim 2023'teki SOCKS5 yığın taşmasından bu yana curl'de görülen ilk yüksek önemdeki açık olduğunu belirtiyor.

Teknik detaylar

Duyuruya göre curl, yükleme sırasında sunucunun HTTP_1_1_REQUIRED ya da REFUSED_STREAM nedeniyle gönderdiği HTTP/2 RST_STREAM çerçevesini hatalı işliyor; bu da dahili struct Curl_easy nesnesinin serbest bırakıldıktan sonra kullanılmasına yol açıyor. The Hacker News'in açıklamasına göre curl bu sıfırlamayı yeniden deneme gerekçesi sayıyor ve temizlik sırasında kalan yükleme verisini, aktarım kaydı silindikten sonra bağlantıya gönderiyor; böylece serbest bırakılmış bir nesneye ait eski bir referans kalıyor. Düzeltme, lib/multi.c dosyasındaki kısa bir sıra değişikliğinden ibaret.

Açığı istismar etmek kolay değil. The Hacker News'in curl duyurusuna dayanarak aktardığına göre istemcinin, sertifikası doğrulamadan geçen ve saldırganın kontrolündeki bir sunucuya HTTP/2 ile yaklaşık 135 KB veri yüklemesi gerekiyor; kod çalıştırmak için ise hedefteki curl sürümünün, mimarinin, bellek ayırıcının ve yığın düzeninin tam olarak bilinmesi şart. Projenin baş geliştiricisi Daniel Stenberg, bir saldırı girişiminin en olası sonucunun "büyük ihtimalle yalnızca bir çökme" olacağını söyledi. The Hacker News'e göre duyuruyla birlikte açığı yeniden üreten bir örnek ve kontrollü ortamda kod çalıştırma gösterimi de yayımlandı. Şu ana kadar gerçek saldırılarda kullanıldığına dair bir bilgi yok.

Kimler etkileniyor?

HTTP/2 desteğiyle derlenmiş curl veya libcurl 8.12.0–8.22.0 kullanan ve HTTPS üzerinden veri yükleyen her uygulama ve sistem risk altında olabilir; zira libcurl, sunucu sunduğunda HTTP/2'yi varsayılan olarak seçiyor. The Hacker News, Debian 12'nin açıklı kodu içermediğini, Debian 13 için ise DSA-6558-1 ile düzeltilmiş paket yayımlandığını aktarıyor.

Ne yapmalı?

• curl'ü 8.23.0 sürümüne, eski dallarda ise 8.14.3, 8.16.2 veya 8.20.2 sürümlerine yükseltin.
• libcurl'ü kendi ürünlerine gömen işletim sistemi ve yazılım üreticilerinin güncellemelerini takip edin.
• Hemen güncelleme yapılamıyorsa duyuru, HTTP/2'nin kullanılmamasını öneriyor; örneğin --http1.1 seçeneğiyle ya da uygulamalarda CURLOPT_HTTP_VERSION değerini CURL_HTTP_VERSION_1_1 yaparak.