ثغرة CVE-2026-92392 في libcurl قد تسمح لخادم خبيث بتشغيل كود على جهاز يرفع إليه ملفًا
نشر مشروع curl في 14 أكتوبر 2026 تفاصيل الثغرة CVE-2026-92392، وهي الثغرة التي قدّم المشروع بسببها موعد إصداره. وتحمل الثغرة درجة High، وتصنيفها CWE-416، أي استخدام ذاكرة بعد تحريرها (use-after-free). وتصيب الإصدارات من 8.12.0 حتى 8.22.0، والإصدار السليم هو 8.23.0 وما بعده، مع إصلاحات منقولة إلى 8.20.2 و8.16.2 و8.14.3.
وتقع المشكلة أثناء رفع ملف إلى خادم عبر HTTP/2. فإذا قطع الخادم الـ stream في منتصف الرفع، تحرر مكتبة libcurl البنية الخاصة بالاتصال، لكنها تُبقي مؤشرًا قديمًا يشير إليها. ثم تكتب المكتبة بيانات قادمة من الخادم في المكان نفسه من الذاكرة. وكان في ذلك المكان مؤشر إلى دالة (function pointer) تستدعيه المكتبة لاحقًا، فإذا كتبت بيانات الخادم فوقه، صار ما يُنفَّذ كودًا مصدره الخادم.
ويكتب فريق curl في التحذير نفسه أن نجاح الهجوم فعليًا احتماله ضعيف، وأن النتيجة الأرجح هي توقف البرنامج عن العمل. لكن الثغرة، بحسب الفريق، من أسوأ ما رآه منذ سنوات.
وأهم ما في التحذير ليس رقمًا. فمكتبة libcurl موجودة داخل تطبيقات كثيرة، ولا يُعلَن وجودها دائمًا. لذلك يصبح السؤال لفرق البناء والتشغيل: أي البرامج والصور والحزم تحمل نسخة مصابة في داخلها. وقد وصل البلاغ في 15 سبتمبر وتأكد خلال ساعات، فقُصّرت دورة الإصدار من 8 أسابيع إلى 6، وهو الإصدار الذي جاء أيضًا بلا ميزات جديدة ومع تحسينات في الأداء.
ومن اكتشف الثغرة هو Luna Tong في Anthropic، باستخدام أداة الفحص الجديدة OSS Scanner. ويكتب Daniel Stenberg أن ذلك على ما يبدو يعتمد على نماذج الشركة.
ويصف الفريق الخطأ بأنه “خطأ C”، ويرفض صراحة إعادة كتابة المكتبة بلغة آمنة للذاكرة، لأن curl تعمل على عشرات المعماريات، ولا تصل إليها كل اللغات الأخرى.