Rilasciato d’urgenza curl 8.23.0 per correggere una critica RCE. La vulnerabilità scoperta da Anthropic

Gli sviluppatori di curl hanno rilasciato d'urgenza la versione 8.23.0 per correggere una vulnerabilità critica RCE (Remote Code Execution) scoperta da Luna Tong di Anthropic. La falla, identificata come CVE-2026-92392, colpisce curl e libcurl dalle versioni 8.12.0 a 8.22.0 e permette l'esecuzione di codice esterno.

Gli sviluppatori di curl hanno rilasciato anticipatamente la versione 8.23.0 a causa di una vulnerabilità pericolosa che permette di eseguire codice esterno sul computer dell’utente. L’errore è stato rilevato grazie allo scanner IA di Anthropic, e un esperto è riuscito a trasformare la minaccia teorica in un exploit funzionante.

La vulnerabilità CVE-2026-92392 colpisce curl e la libreria libcurl nelle versioni da 8.12.0 a 8.22.0 incluse. Il problema è emerso a febbraio 2025 ed è legato al caricamento di file tramite il protocollo HTTP/2. Un attaccante che controlla il server a cui viene inviato il file può danneggiare la memoria del programma client e, in determinate condizioni, ottenere l’esecuzione remota del codice.

La causa risiede in un errore di tipo Use-After-Free, in cui il programma continua ad accedere a una porzione di memoria già liberata. Durante il trasferimento del file, un server malintenzionato può interrompere l’invio, rispondere parzialmente al client e resettare il flusso HTTP/2. curl tenta di ripetere l’operazione, ma durante la pulizia della connessione conserva un puntatore all’oggetto di trasferimento, che viene successivamente eliminato.

Il server ottiene la possibilità di influenzare il puntatore rimanente e costringere il programma ad accedere alla memoria liberata. L’esperto ha dimostrato non solo il crash di curl, ma anche l’esecuzione di codice arbitrario. Per un attacco di successo sono stati necessari un file appositamente preparato di circa 135 KB, il controllo delle risposte del server e una configurazione precisa delle condizioni di sfruttamento.

Un attacco pratico è significativamente più complesso rispetto all’uso ordinario della vulnerabilità. L’attaccante deve conoscere la versione di curl, l’architettura del processore, le caratteristiche della distribuzione della memoria e la posizione delle strutture interne. Inoltre, è necessario sincronizzare due trasferimenti paralleli e inserire il comando dannoso in circa 23 byte. Gli sviluppatori considerano il risultato più probabile di un tentativo di hacking un semplice crash del programma.

L’errore è stato rilevato da Luna Tong di Anthropic utilizzando il nuovo strumento OSS Scanner, che impiega i modelli Claude per la ricerca di problemi nel codice open source. In precedenza, il creatore di curl, Daniel Stenberg, aveva valutato le capacità dei sistemi IA di Anthropic in modo piuttosto cauto. Questa volta, l’esperto ha presentato uno scenario di sfruttamento riproducibile, e non solo un frammento di programma sospetto.

Il team di curl ha ricevuto il rapporto il 15 settembre 2026 e ha confermato il problema nel giro di poche ore. A causa della gravità della scoperta, il ciclo di rilascio standard di otto settimane è stato ridotto a sei. Alla vulnerabilità è stato assegnato un livello di pericolo elevato (High). Al momento non ci sono informazioni su attacchi in condizioni reali.

La versione 8.23.0 corregge un totale di 24 vulnerabilità, delle quali le altre 23 hanno ricevuto un livello di pericolo basso. La correzione dell’errore principale è consistita nella modifica dell’ordine delle operazioni di pulizia nel file lib/multi.c. Si consiglia agli sviluppatori e agli amministratori di aggiornare curl e libcurl oppure di applicare manualmente la patch. Se l’aggiornamento non è al momento possibile, si consiglia di rinunciare a HTTP/2, ad esempio forzando la scelta di HTTP/1.1.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response