curl corrige una vulnerabilidad de carga HTTP/2 tras una prueba de concepto que demuestra la ejecución de código del lado del cliente.

Una vulnerabilidad en la forma en que curl gestiona las cargas HTTP/2 permite que un servidor malicioso que recibe una carga corrompa la memoria del cliente. El investigador que la reportó logró ejecutar código en la máquina que realiza la carga.

El proyecto curl solucionó la vulnerabilidad el 14 de octubre en la versión 8.23.0. Tomar el control de un cliente requiere un conocimiento preciso de su arquitectura y distribución de memoria, y curl espera que un ataque real termine en un fallo del sistema.

La vulnerabilidad, un error de uso de memoria liberada (use-after-free) identificado como CVE-2026-92392, afecta a curl y libcurl versiones 8.12.0 a 8.22.0, tanto a la herramienta de línea de comandos como a la biblioteca que muchos otros programas utilizan para las transferencias. curl la clasifica como de alta gravedad en su escala de cuatro niveles, siendo esta su primera vulnerabilidad de alta gravedad desde el desbordamiento de búfer de SOCKS5 en octubre de 2023. El proyecto redujo su ciclo de lanzamiento en dos semanas para implementar la solución.

El ataque se ejecuta desde el lado del servidor. El cliente debe subir un archivo de aproximadamente 135 KB a través de HTTP/2 a un servidor controlado por el atacante, y el certificado del servidor debe superar las comprobaciones del cliente. libcurl negocia HTTP/2 por defecto para las URL https:// cuando el servidor lo ofrece, y la biblioteca se compiló con soporte para HTTP/2.

La vulnerabilidad ha estado presente en todas las versiones de curl desde la 8.12.0 en febrero de 2025. No se han reportado ataques que la utilicen. El informe del usuario en HackerOne, que describe el script del servidor malicioso y un contenedor Docker que reproduce la ejecución del código, se hizo público el 14 de octubre junto con el aviso de seguridad.