Curl corrige une vulnérabilité RCE élevée découverte par Anthropic
18 octobre 2026 · 1 min de lecture
Une nouvelle version de Curl a été publiée, corrigeant plus de vingt vulnérabilités, dont une faille de sécurité permettant l'exécution de code à distance (RCE) découverte par l'entreprise d'intelligence artificielle Anthropic. Bien que la vulnérabilité permette l'exécution distante de code, l'impact de CVE-2026-92392 a été évalué comme 'élevé' et non comme critique. Selon le mainteneur de Curl, Daniel Stenberg, cela est dû à la difficulté d'exploitation du problème. Néanmoins, il qualifie cette vulnérabilité de 'difficile'.
Curl est une bibliothèque et un outil en ligne de commande largement utilisé pour l'envoi et la réception de données via divers protocoles réseau. La vulnérabilité CVE-2026-92392 pourrait survenir lors de l'upload de fichiers via Curl vers un serveur malveillant. Cela pourrait provoquer un use after free, permettant ainsi au serveur d'exécuter du code sur le système du client.
Stenberg qualifie cela de problème sérieux. Étant donné les conditions dans lesquelles l'exploitation est possible, il a été décidé de ne pas classer l'impact comme critique, mais comme élevé. Les vulnérabilités étiquetées élevées sont rarement rencontrées dans Curl. Depuis 2021, seules deux vulnérabilités ont reçu cette classification. Les utilisateurs et les administrateurs sont conseillés de mettre à jour vers la version 8.23.0 de Curl, dans laquelle les problèmes ont été résolus.