Publican curl 8.23.0 de urgencia para corregir una RCE crítica detectada por el escáner de Anthropic
Un especialista convirtió un error de gestión de memoria en un exploit funciona
Los desarrolladores de curl publicaron anticipadamente la versión 8.23.0 debido a una vulnerabilidad peligrosa que permite ejecutar código ajeno en el equipo del usuario. El error fue detectado con el escáner de IA de Anthropic, y un especialista consiguió convertir la amenaza teórica en un exploit funcional.
La vulnerabilidad CVE-2026-92392 afecta a curl y a la biblioteca libcurl en las versiones desde la 8.12.0 hasta la 8.22.0 inclusive. El problema apareció en febrero de 2025 y está relacionado con la carga de archivos mediante el protocolo HTTP/2. Un atacante que controle el servidor al que se envía el archivo puede corromper la memoria del programa cliente y, en determinadas condiciones, lograr la ejecución remota de código.
La causa es un error de tipo use-after-free, cuando el programa sigue accediendo a una área de memoria que ya ha sido liberada. Durante la transferencia del archivo, un servidor malicioso puede interrumpir el envío, responder parcialmente al cliente y restablecer el flujo HTTP/2. curl intenta repetir la operación, pero al limpiar la conexión conserva un puntero al objeto de transferencia que posteriormente se elimina.
El servidor obtiene la posibilidad de manipular el puntero restante y obligar al programa a acceder a memoria liberada. El especialista no solo demostró el bloqueo de curl, sino también la ejecución de código arbitrario. Para un ataque exitoso fueron necesarios un archivo especialmente preparado de unos 135 KB, control de las respuestas del servidor y un ajuste preciso de las condiciones de explotación.
Un ataque práctico es considerablemente más difícil que el uso típico de la vulnerabilidad. El atacante necesita conocer la versión de curl, la arquitectura del procesador, las características de la distribución de la memoria y la ubicación de las estructuras internas. También es preciso coordinar dos transferencias paralelas y encajar la carga maliciosa en aproximadamente 23 bytes. Los desarrolladores consideran que el resultado más probable de un intento de intrusión es un fallo normal del programa.
El error fue detectado por Luna Tong de Anthropic mediante la nueva herramienta OSS Scanner, que utiliza modelos Claude para buscar problemas en código abierto. Anteriormente el creador de curl, Daniel Stenberg, ya evaluó con cierta reserva las capacidades de los sistemas de IA de Anthropic. En esta ocasión el especialista presentó un escenario reproducible de explotación, y no solo un fragmento de código sospechoso.
El equipo de curl recibió el informe el 15 de septiembre de 2026 y confirmó el problema en cuestión de horas. Debido a la gravedad del hallazgo, el ciclo de lanzamiento habitual de ocho semanas se redujo a seis semanas. A la vulnerabilidad se le asignó un alto nivel de gravedad (High). No hay información sobre ataques en condiciones reales hasta el momento.
La versión 8.23.0 corrige de inmediato 24 vulnerabilidades, mientras que las otras 23 recibieron un nivel de gravedad bajo. La corrección del error principal consistió en cambiar el orden de las operaciones de limpieza en el archivo lib/multi.c. Se recomienda a desarrolladores y administradores actualizar curl y libcurl o aplicar el parche manualmente. Si la actualización no es posible, conviene renunciar a HTTP/2, por ejemplo, forzando HTTP/1.1.