Das BSI hat am 09.10.2026 das Advisory WID-SEC-2026-2065 veröffentlicht – Titel: „[UPDATE] [mittel] cURL: Mehrere Schwachstellen". Der Warn- und Informationsdienst beschreibt, dass ein Angreifer mehrere Lücken in der Bibliothek ausnutzen kann, um Sicherheitsvorkehrungen zu umgehen, vertrauliche Informationen offenzulegen, Daten zu manipulieren oder einen Denial-of-Service-Zustand zu verursachen. Welche CVEs die Meldung im Einzelnen adressiert und welche Versionsbereiche betroffen sind, lässt sich aus dem vorliegenden Kontext nicht ableiten; das Advisory nennt hier keine konkreten CVE-Nummern. Unabhängig davon laufen die Vorbereitungen auf den nächsten curl-Release: Version 8.23.0 erscheint am 14.10.2026 und soll 22 Schwachstellen beheben, darunter CVE-2026-92392, der als HIGH eingestuft ist. Die parallel dokumentierten curl-CVEs reichen in der NVD-Bewertung bis CVSS 9.8. Da curl und libcurl praktisch überall eingebettet sind – in Webservern, CI/CD-Pipelines, Microservices und Embedded-Systemen –, betreffen die cURL Schwachstellen nahezu jede IT-Abteilung.
cURL Schwachstellen: Was das BSI-Advisory WID-SEC-2026-2065 meldet
Das BSI-Advisory trägt den Schweregrad „mittel" und gehört in die Kategorie der Mehrfach-Schwachstellen-Meldungen. Das Kürzel „[UPDATE]" im Titel weist darauf hin, dass eine frühere Fassung überarbeitet wurde – ein Hinweis darauf, dass sich Kenntnisstand oder Einschätzung seither geändert haben.
Die beschriebenen Auswirkungen decken ein breites Spektrum ab: Umgehen von Sicherheitsvorkehrungen, Offenlegung vertraulicher Daten, Manipulation von Daten sowie Denial of Service. Für Administratoren ist diese Bandbreite entscheidend, denn je nach konkreter Lücke können Vertraulichkeit, Integrität und Verfügbarkeit betroffen sein. Eine belastbare Priorisierung ist derzeit aber nicht möglich: Der CVE-Umfang des Advisories ist im vorliegenden Kontext nicht belegt. Das gewohnte Vorgehen – betroffene CVEs gegen den eigenen Asset-Bestand abgleichen – greift hier noch nicht.
Bekannte CVEs aus der curl-Schwachstellenwelle
Aussagekräftiger als das Advisory selbst ist die offizielle curl-Schwachstellenliste. Sie führt die jüngsten Einträge mit Datum 02.09.2026 (bis CVE-2026-82209); der vorherige größere Batch datiert auf den 24.06.2026 und umfasst unter anderem CVE-2026-10536, CVE-2026-11856, CVE-2026-8924, CVE-2026-8927 und CVE-2026-11564.
Ein IBM-Security-Bulletin beschreibt acht curl/libcurl-CVEs, die auch AIX-Systeme betreffen. Zu den auffälligsten zählen:
- CVE-2026-10536 – Use-after-free im HTTP/2-Stream-Dependency-Tree (CWE-416), betroffene Versionen 7.88.0 bis 8.20.0. NVD vergibt einen CVSS-Score von 9.8.
- CVE-2026-11856 – Leak des Digest-Auth-Status über Origin-Grenzen hinweg (CWE-294), CVSS 9.8 (CISA ADP).
- CVE-2026-8924 – als „Trailing-Dot-Domain-Super-Cookie" beschriebener PSL-Bypass, CVSS 9.1 (CISA ADP/NVD).
- CVE-2026-8927 – Leak des Digest-Auth-Status im env-set-cross-proxy-Szenario (CWE-294); die CVSS-Angabe liegt im Kontext nur unvollständig vor.
Bemerkenswert ist die Häufung: Mehrere der dokumentierten Lücken betreffen Authentifizierungs- und Session-Zustände sowie Connection-Pooling – also genau jene Mechanismen, die curl im Hintergrund nutzt, ohne dass sie im Betrieb sichtbar werden. Eine Use-after-free mit CVSS 9.8 in der HTTP/2-Verarbeitung ist kein Randfall.
curl 8.23.0 behebt 22 Lücken – Details erst am 14.10.2026
curl-Autor Daniel Stenberg kündigt in seinem Projekt-Blog an, dass Version 8.23.0 am 14.10.2026 erscheint und 22 Schwachstellen behebt. Eine davon trägt die Kennung CVE-2026-92392 und ist als HIGH eingestuft; die Details will das Projekt erst am europäischen Morgen des 14.10.2026 veröffentlichen.
Zur Einordnung: Seit 2021 gab es nur zwei als HIGH bewertete curl-CVEs, zuletzt CVE-2023-38545. Dass nun erneut ein HIGH-Flaw ansteht, ist ungewöhnlich. Als Grund für die vorgezogene Veröffentlichung nennt der Blog einen besonders schwerwiegenden Schwachstellenbericht. Was genau dahintersteckt, bleibt bis zum Release-Tag offen – Spekulationen über die Angreifbarkeit sind bis dahin nicht belastbar.
Bereits verfügbare Patches: SUSE und IBM AIX
Während Umfang des BSI-Advisories und der Release 8.23.0 noch offen sind, existieren für einen Teil der Welle bereits Fixes. SUSE hat mit SUSE-SU-2026:2926-1 am 13.07.2026 ein Update veröffentlicht, das zehn CVEs behebt und CVSS-Bewertungen aus SUSE- und NVD-Sicht enthält. IBM stellt seinerseits Patches für die oben genannten acht CVEs unter AIX bereit. Wer curl aus Distributionen bezieht, sollte zuerst die Paketquellen des jeweiligen Anbieters prüfen, bevor ein manueller Source-Build in Betracht kommt.
Fazit: Patch-Fenster einplanen, Umfang bleibt offen
Die Lage ist zweigeteilt. Das BSI-Advisory WID-SEC-2026-2065 bleibt in seinem CVE-Umfang unklar und lässt sich derzeit keinem konkreten Versionsbereich zuordnen. Das „mittel" des BSI ist dabei nicht mit den CVSS-Werten einzelner CVEs zu verrechnen, die in der curl-Liste bis 9.8 reichen – die Einstufungen beziehen sich auf unterschiedliche Bezugsgrößen. Klar ist dagegen der Termin: Am 14.10.2026 legt das curl-Projekt 8.23.0 mit 22 Fixes vor, darunter das HIGH-Flaw CVE-2026-92392. Administratoren sollten bis dahin ein Inventar aller curl- und libcurl-Einbettungen erstellen – inklusive CI/CD-Images und Embedded-Systemen – und den Release-Tag als Patch-Fenster einplanen. Workarounds sind im vorliegenden Kontext nicht dokumentiert; bis zur Veröffentlichung der Details am 14.10.2026 ist unklar, ob sich einzelne Lücken ohne Update entschärfen lassen.