Пъхнал си го в скрипт, в контейнер, в CI пайплайн, във всеки Dockerfile, който тегли нещо от мрежата - и дори не помниш кога. curl (инструмент за изтегляне на файлове) е навсякъде, защото никой не го инсталира съзнателно. Просто е там. Затова кръпка в curl не е новина за един продукт. Засяга всичко, което сме пуснали в работа.
Факт
Фактите: USN-8525-1, публикуван на 9 юли 2026 от Ubuntu Security. Десет CVE в curl, засегнати версии от Ubuntu 14.04 LTS (версия с дългосрочна поддръжка) до 26.04 LTS, включително 25.10. Сред номерата: CVE-2024-11053, CVE-2024-8096, CVE-2026-5545, CVE-2026-7168, CVE-2026-11586, плюс още пет. Advisory-то не съобщава за активна експлоатация.
Право в целта е сценарият с .netrc. curl може да прати твои креденшъли (потребителско име и парола) на съвсем друг хост само защото сървърът е върнал пренасочване. Никой не е сбъркал парола. Никой не е кликнал фишинг линк. Автоматизацията просто си върши работата - и подава пароли на непознат сървър.
Автоматизацията не проверява накъде я пренасочват. Тя просто изпълнява.
Обновяваме curl навсякъде, където го има - сървъри, контейнерни образи, CI машини. Десет CVE звучи страшно, но по думите на Ubuntu нито едно не се експлоатира. Кръпка, не пожар. И както винаги - каже ли ти някой, че нещо се експлоатира, питай за номера на CVE.
Официални първоизточници
Ubuntu Security Notice USN-8525-1Визуалът към статията е генериран код-арт, без чужди изображения.