Ein neues curl-Release vollzieht einen lange angekündigten Schnitt: Der curl SMB-Support verschwindet, und das Projekt schließt in derselben Version zahlreiche Sicherheitslücken. Die kursierende Meldung nennt 24 Lücken sowie eine Codeausführung über HTTP/2, die Anthropic gefunden haben soll. Beide Angaben sind mit den vorliegenden Quellen nicht belegbar. Wer curl oder libcurl einsetzt, sollte trotzdem aktualisieren — und die kolportierten Zahlen kritisch prüfen.
Was am curl SMB-Support konkret wegfällt
Der SMB-Support in curl ist ein Sonderfall: curl spricht ausschließlich SMB Version 1, das als unsicher und veraltet gilt und auf Servern üblicherweise abgeschaltet ist. Das offizielle Security Advisory zu CVE-2026-5773 hält fest, dass curl SMB „später im Jahr 2026" aufgeben will. Seit Version 8.20.0 ist der SMB-Support bereits nur noch opt-in — wer ihn nutzt, muss ihn ausdrücklich aktivieren.
Für alle, die curl smb://... produktiv einsetzen, bricht der Wegfall ein bestehendes Feature. Als Ausweichoption kommen Werkzeuge wie smbclient infrage; ob sie jeden Anwendungsfall abdecken, ist im Einzelfall zu prüfen und nicht pauschal bestätigt.
Unbestätigt: 24 Lücken, HTTP/2-Codeausführung, Anthropic
Die Zahl von 24 behobenen Sicherheitslücken taucht in den vorliegenden Quellen nirgends auf. Für das Release 8.21.0 vom 25. Juni 2026 dokumentiert SQ Magazine 18 behobene CVEs — die bis dahin höchste Zahl in einem einzelnen curl-Release. Möglicherweise bezieht sich die 24 auf ein späteres Release im Oktober 2026; belegt ist das nicht.
Ähnlich verhält es sich mit der behaupteten HTTP/2-Lücke: Keine der vorliegenden Volltexte beschreibt eine Codeausführung über HTTP/2. Anthropic wird lediglich als Auslöser einer breiteren Fundwelle genannt — demnach stieß Anthropics „Mythos" eine intensivere Code-Analyse an, an der sich auch das Sicherheitsunternehmen Aisle mit KI-gestützter Analyse beteiligte. Als Finder einer HTTP/2-Codeausführungslücke erscheint Anthropic in den Quellen nicht.
Auch die Versionsnummer des neuen Releases nennt die Meldung nicht. Ohne diese Angabe bleibt offen, ob es sich um 8.22.0 oder eine spätere Version handelt. Vor einer Veröffentlichung wäre das zu klären.
Belegte Schwachstellen: von SMB-Reuse bis Use-after-Free
Dokumentiert sind dagegen ältere, klar umrissene SMB-Schwachstellen aus dem laufenden Jahr. CVE-2026-5773 beschreibt die falsche Wiederverwendung einer SMB-Verbindung: libcurl konnte eine bestehende Verbindung zum selben Server weiterverwenden, obwohl eine andere Share adressiert war — mit dem möglichen Ergebnis, dass die falsche Datei heruntergeladen oder an der falschen Stelle hochgeladen wurde. Severity: Low, CWE-488. Betroffen sind curl 7.40.0 bis einschließlich 8.19.0, behoben in 8.20.0 vom 29. April 2026 durch den kompletten Verzicht auf die Wiederverwendung von SMB-Verbindungen. Gemeldet wurde die Lücke am 5. April 2026, gepatcht von Daniel Stenberg.
Die zweite einschlägige Lücke, CVE-2026-3805, ist ein Use-after-Free im SMB-Handler: Eine zweite SMB-Anfrage an denselben Host griff auf einen bereits freigegebenen Datenpointer zurück. Die SentinelOne Vulnerability Database führt CWE-416 und CVSS 7.5 (High). Wichtig: Diese Quelle kennzeichnet sich selbst als KI-generiert und trägt einen Verify-Hinweis — sie taugt nicht als alleinige Grundlage für Aussagen zum Schweregrad. Ein öffentlicher Exploit für Codeausführung ist dort nicht belegt; beschrieben wird primär Denial-of-Service.
Einen Überblick über die Release-Historie und die je Version behobenen CVEs liefert die curl-Chronik. 8.21.0 war demnach der 275. curl-Release; die Gesamtzahl öffentlich bekannter curl-Schwachstellen stieg auf 206. Zu den dort behobenen Lücken zählten unter anderem CVE-2026-8932 (Connection-Reuse bei gegenseitigem TLS, ursprünglich eingeführt in curl 7.7 vom 22. März 2001), CVE-2026-8925 (SASL Double Free), CVE-2026-8927 (Cross-Proxy-Digest-Auth-State-Leak), CVE-2026-9079 (Stale Proxy Password Leak), CVE-2026-11856 (Cross-Origin-Digest-Auth-State-Leak), CVE-2026-8926 (Passwort-Leak bei .netrc plus Username in der URL), CVE-2026-11586 (WebSocket Auto-PONG Memory Exhaustion) sowie CVE-2026-9080 und CVE-2026-10536 (Use-after-Free).
Windows-Blindfleck und die Flut KI-generierter Meldungen
Ein strukturelles Problem begleitet die Patch-Arbeit: Dem Bericht von Dr. Windows zufolge hat curl-Chefentwickler Daniel Stenberg auf Mastodon um Unterstützung gebeten, weil niemand im siebenköpfigen curl-Sicherheitsteam Windows nutzt oder damit arbeitet. Das Projekt steht zudem unter Druck durch die Flut KI-generierter Meldungen.
Für Windows-Nutzer wiegt das schwer, denn curl-Patches kamen dort historisch verzögert an. Die Kombination aus fehlender Windows-Expertise im Kernteam und einer steigenden Zahl automatisierter Reports macht es wahrscheinlicher, dass echte Funde in der Masse untergehen. Wer curl unter Windows einsetzt, sollte deshalb nicht allein auf die Upstream-Version achten, sondern auch die eigene Distribution oder Paketquelle im Blick behalten.
Fazit: Aktualisieren, aber Zahlen nachprüfen
Die belastbare Botschaft ist unspektakulär: Wer curl oder libcurl einsetzt, sollte auf das aktuelle Release aktualisieren und dabei beachten, dass Distributions-Backports zeitversetzt eintreffen — die Versionsnummer im Upstream sagt wenig über den Stand der eigenen Installation.
Die kursierenden Angaben zu 24 Lücken, HTTP/2-Codeausführung und Anthropic als Finder sollten dagegen nicht ungeprüft weiterverbreitet werden. Sie sind mit den vorliegenden Quellen nicht gedeckt, und gerade bei Sicherheitsmeldungen wird eine falsche Zahl schnell Teil der Berichterstattung. Der belegte Kern bleibt: SMB in curl war nie mehr als ein opt-in-Feature auf Basis von SMBv1 — und genau dieser Teil verschwindet jetzt.