El proyecto curl lanzó la versión 8.23.0 el 14 de octubre de 2026, en la cual se incluyen 24 correcciones de seguridad que afectan a esta herramienta de transferencia de datos y a su librería libcurl. Las vulnerabilidades solucionadas abarcan desde filtraciones de credenciales y errores de autenticación hasta inyección de comandos y fallos que podrían interrumpir el funcionamiento de las aplicaciones. Además, esta actualización elimina el soporte para los protocolos SMB y SMBS.

El proyecto curl lanzó curl 8.23.0 el 14 de octubre de 2026, anunciando 24 correcciones de seguridad que afectan a la herramienta de transferencia de datos ampliamente utilizada y a su biblioteca base, libcurl.

Las vulnerabilidades incluyen filtraciones de credenciales, errores de autenticación, inyección de comandos y fallos que pueden interrumpir las aplicaciones. El lanzamiento también elimina el soporte para los protocolos SMB y SMBS, por lo que es importante que realices comprobaciones de compatibilidad antes de la implementación.

Según la firma de seguridad AISLE, descubrieron 18 de las vulnerabilidades anunciadas en este lanzamiento, lo que representa el 75 por ciento del total.

Su auditoría dedicada produjo 24 CVE en dos versiones, con seis solventadas en curl 8.22.0 y otras dieciocho asociadas a la 8.23.0. Estas cifras describen los hallazgos de la auditoría de AISLE, no el recuento total de seguridad para ninguna de las dos versiones.

Vulnerabilidades de Seguridad de curl

Un fallo notable, el CVE-2026-86414, permite que un proxy HTTP engañe a libcurl para que entregue credenciales destinadas al servidor de destino.

Durante una solicitud de túnel CONNECT, el proxy puede devolver una respuesta 401 con un encabezado WWW-Authenticate en lugar de la respuesta de autenticación de proxy esperada.

Esto puede exponer una contraseña de autenticación básica o un ticket Negotiate/Kerberos. El problema afecta a las versiones 7.10.8 hasta la 8.22.0.

Otra vulnerabilidad, la CVE-2026-94266, puede exponer contraseñas a través de CURLINFO_EFFECTIVE_URL cuando curl obtiene credenciales de un archivo .netrc. La herramienta de línea de comandos puede revelar la misma información a través de su variable de salida url_effective.

Por lo tanto, las aplicaciones que registren estas URL devueltas podrían colocar credenciales en los logs. Las versiones 7.62.0 hasta la 8.22.0 están afectadas.

Estos hallazgos amplían una preocupación de seguridad recurrente en torno al manejo de credenciales. Anteriormente se informó sobre una filtración de contraseñas de curl que involucraba redirecciones y archivos .netrc, donde las credenciales podían llegar a un host no deseado bajo condiciones específicas.

El aviso oficial para el CVE-2026-87864 explica un fallo de inyección de comandos IMAP relacionado con la carga de mensajes y CURLOPT_CRLF. Curl anunciaba el tamaño original del mensaje pero enviaba bytes adicionales después de convertir los finales de línea.

Un servidor de correo podría interpretar esos bytes extra como comandos dentro de la sesión autenticada. Esto afecta a los comandos IMAP, no a los comandos de la shell del sistema operativo.

Es importante que sepas que este fallo ya fue corregido en curl 8.22.0, aunque su aviso se publicó el 14 de octubre. Afecta a las versiones 7.30.0 hasta la 8.21.0 y tiene una calificación de severidad baja. Evitar el uso de CURLOPT_CRLF con IMAP es la solución temporal documentada. Recientemente, cURL parcheó una vulnerabilidad de 25 años con la versión 8.21.0.

Otros hallazgos de AISLE incluyen encabezados de firma de AWS obsoletos, credenciales que cruzan límites de redirección, confusiones de certificados de cliente, almacenamiento de cookies dañado y un manejo incorrecto de la caché HSTS. Problemas adicionales pueden causar un bucle infinito o agotar la pila del proceso. Estos fallos suelen aparecer cuando la configuración o el estado de la conexión persisten después de que el destino o la identidad cambian.

ID de CVE	Vulnerabilidad	Función afectada	Impacto de seguridad
CVE-2026-86409	Encabezados AWS SigV4 obsoletos enviados a un destino no deseado	Firma de solicitudes AWS	Los encabezados de autenticación pueden permanecer adjuntos a una solicitud después de que su destino cambie.
CVE-2026-86410	La redirección omite la verificación del host SSH	Redirecciones SFTP y SCP	Una conexión redireccionada puede saltarse la verificación del host necesaria para confirmar la identidad del servidor remoto.
CVE-2026-86411	Una conexión FTP reutilizada hereda un certificado de cliente	Reutilización de conexión FTP	Una transferencia puede reutilizar una conexión autenticada con un certificado de cliente de una configuración anterior.
CVE-2026-86412	Una cookie establecida por el servidor borra el archivo de cookies	Almacenamiento de cookies	Una cookie proporcionada por el servidor puede provocar que se borren las cookies almacenadas.
CVE-2026-86413	Credenciales Negotiate enviadas a un origen redireccionado	Redirecciones y autenticación Negotiate	La información de autenticación puede llegar a un destino que no debería recibirla.
CVE-2026-86414	Credenciales del host filtradas a un proxy HTTP	Manejo de CONNECT de proxy HTTP	Un proxy puede obtener credenciales destinadas al servidor de destino, incluyendo contraseñas de autenticación básica o tickets Negotiate/Kerberos.
CVE-2026-86415	Confusión en la reutilización automática de conexión con certificado de cliente	Certificados de cliente y reutilización de conexión	Una conexión puede ser reutilizada bajo la identidad de certificado de cliente incorrecta.
CVE-2026-87862	La importación de la caché HSTS descarta una entrada hija de mayor duración	Carga de caché HSTS	Una entrada de dominio hijo existente con una vida útil más larga puede perderse durante la importación de la caché.
CVE-2026-87863	La respuesta HSTS borra las entradas persistidas	Persistencia de caché HSTS	El procesamiento de la respuesta HSTS de un servidor puede borrar las entradas de aplicación de HTTPS almacenadas.
CVE-2026-87864	Inyección de comando IMAP APPEND durante la conversión CRLF	Cargas IMAP y CURLOPT_CRLF	Una discrepancia entre el tamaño del mensaje declarado y los bytes transmitidos puede permitir que bytes extra se conviertan en comandos IMAP en una sesión autenticada. No es una inyección de shell del sistema operativo.
CVE-2026-92386	Una cookie establecida por el servidor aborta la carga del archivo de cookies	Carga de archivo de cookies	Una cookie proporcionada por el servidor puede interrumpir la carga de las cookies almacenadas.
CVE-2026-92387	La falta de datos en la respuesta del servidor causa un bucle infinito	Manejo de respuesta del servidor	La operación afectada puede quedar atrapada en un bucle infinito, interrumpiendo la aplicación.
CVE-2026-92388	Confusión en el callback de escritura con comodines FTP	Transferencias FTP con comodines	Los datos de transferencia pueden llegar al callback de escritura de la aplicación incorrecta.
CVE-2026-92389	Confusión en la dirección de transferencia TFTP	Transferencias TFTP	Curl puede confundir la dirección de transferencia prevista, provocando un comportamiento incorrecto del protocolo.
CVE-2026-92390	La protección no-clobber de -J es omitida a través de 103 Early Hints	Encabezados de respuesta HTTP y manejo de archivo de salida	Una respuesta HTTP 103 Early Hints puede omitir la protección destinada a evitar la sobrescritura de un archivo existente.
CVE-2026-92391	Llamadas recursivas a curl_mime_free agotan la pila	Limpieza MIME	La limpieza recursiva puede agotar la pila del proceso y hacer que la aplicación falle.
CVE-2026-94265	Authorization: Negotiate enviado a un origen extranjero	Autenticación HTTP Negotiate	Un encabezado de autenticación puede enviarse a un origen diferente que no debería recibirlo.
CVE-2026-94266	Filtración de contraseñas a través de CURLINFO_EFFECTIVE_URL	Informe de URL efectiva y credenciales .netrc	Las URL devueltas pueden exponer contraseñas, colocándolas potencialmente en los logs de la aplicación o en la salida de la línea de comandos.

Deberías actualizar las instalaciones afectadas de curl y libcurl a la versión 8.23.0 o aplicar los parches correspondientes. Revisa las aplicaciones que incluyen libcurl, ya que actualizar la herramienta independiente puede dejar las copias integradas sin cambios.

Revisa la configuración de la autenticación de proxy, el registro de credenciales y las cargas de IMAP mientras planificas la implementación. Antes del despliegue, consulta el anuncio del lanzamiento para ver cualquier cambio de compatibilidad.

Fuentes:
https://cybersecuritynews.com/curl-security-update-24-vulnerabilities/