curl corrige un fallo grave en HTTP/2 que, en condiciones muy concretas, puede permitir ejecutar código
El proyecto curl ha publicado la versión 8.23.0 para corregir la vulnerabilidad CVE-2026-92392 (CVSS 8.1), un fallo de uso de memoria liberada en las subidas por HTTP/2. Afecta a la herramienta curl y a la biblioteca libcurl, desde la versión 8.12.0 hasta la 8.22.0, incluida en multitud de aplicaciones.
Qué ha pasado
El 14 de octubre de 2026, el proyecto curl publicó un aviso de seguridad sobre la vulnerabilidad CVE-2026-92392, de gravedad alta (CVSS 8.1). Según el aviso de curl, durante una subida de datos el programa gestiona mal determinados mensajes RST_STREAM de HTTP/2 enviados por el servidor, con los motivos HTTP_1_1_REQUIRED o REFUSED_STREAM. Esto provoca un uso de memoria ya liberada (use-after-free), un tipo de error que puede corromper la memoria del proceso.
El aviso indica que se ha demostrado que el fallo puede convertirse en ejecución remota de código, pero solo si un servidor malicioso cumple una larga lista de condiciones: conocer la versión exacta de curl, la arquitectura y el gestor de memoria del sistema, controlar el comportamiento de nghttp2 y OpenSSL/TLS 1.3, calibrar con precisión dos transferencias en paralelo y trabajar con un margen de comando muy reducido (unos 23 bytes). El fallo lo comunicó al proyecto un investigador que trabajó con Claude, de Anthropic, y lo corrigió el equipo de desarrollo de curl.
A quién afecta
Según el aviso de curl, están afectadas las versiones de curl y libcurl desde la 8.12.0 hasta la 8.22.0, ambas incluidas. El riesgo se concreta cuando curl, o una aplicación que use libcurl, realiza subidas por HTTP/2 contra un servidor malicioso o comprometido.
El proyecto recuerda que libcurl está integrada en muchas aplicaciones que no siempre lo indican, por lo que la exposición puede ir más allá de la herramienta de línea de comandos.
- Afectadas: curl 8.12.0 a 8.22.0
- No afectadas: versiones anteriores a 8.12.0 y versión 8.23.0 o posteriores
- Tampoco afectadas, según el aviso: 8.20.2 o posterior en la rama 8.20, 8.16.2 o posterior en la rama 8.16 y 8.14.3 o posterior en la rama 8.14
Estado de la explotación
CISA no ha incluido esta vulnerabilidad en su catálogo de explotación activa. FIRST estima una probabilidad de explotación del 0.2 % en el próximo mes, por lo que por ahora se considera poco probable, en buena medida por la complejidad de las condiciones necesarias.
Aun así, hay pruebas de concepto públicas en GitHub, no verificadas, lo que aumenta el riesgo y justifica no retrasar la actualización.
Qué hacer
El aviso de curl propone tres opciones, por orden de preferencia. Conviene priorizar los sistemas que suben datos por HTTP/2 a servidores externos o que no están bajo su control.
- Actualizar curl y libcurl a la versión 8.23.0, o a las versiones corregidas de las ramas 8.20, 8.16 y 8.14 indicadas en el aviso.
- Si no es posible actualizar, aplicar el parche publicado por el proyecto sobre la versión local.
- Como medida temporal, desactivar el uso de HTTP/2 en curl y libcurl.
- Inventariar el software que incluye libcurl (aplicaciones, imágenes de contenedores, dispositivos y paquetes de distribuciones Linux) y vigilar las actualizaciones de cada proveedor.
Fuentes
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-92392 | Alta (8.1) | — | 14/10/2026 | Pendiente de análisis |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.