curl 8.22.0 schließt zehn Lücken – betroffen sind nicht alle Installationen gleich

Das curl-Projekt hat am 2. September 2026 Version 8.22.0 veröffentlicht und damit zehn getrennt dokumentierte Sicherheitslücken behoben. Die Ankündigung des curl-Projekts nennt neun CVEs für curl beziehungsweise libcurl und eine weitere für wcurl.

Für unveränderte Upstream-Builds ist curl 8.22.0 damit der korrigierte Zielstand. Ob ein älteres System tatsächlich angreifbar ist, entscheidet jedoch nicht die Versionsnummer allein: Maßgeblich sind die eingesetzte Komponente, Plattform, Bibliotheksfunktionen und das TLS-Backend. Das am selben Tag veröffentlichte Bulletin von CERT-FR bestätigt die Schwachstellenserie und nennt mögliche Folgen für Vertraulichkeit, Integrität und Sicherheitsrichtlinien.

Die zehn Lücken betreffen drei verschiedene Angriffsflächen

Die erste Trennlinie verläuft zwischen dem Kommandozeilenprogramm curl, Anwendungen mit eingebettetem libcurl und wcurl. Sieben der neun curl- und libcurl-CVEs können grundsätzlich auch über die Kommandozeile erreicht werden; zwei setzen eine spezielle Nutzung der Bibliothek voraus. Die zehnte Lücke gehört ausschließlich zu wcurl unter Windows.

• curl und libcurl: CVE-2026-13608 betrifft SASL-Authentifizierung über das OpenLDAP-Backend, allerdings nicht LDAPS mit erfolgreicher Zertifikatsprüfung. CVE-2026-19931 setzt Negotiate-Authentifizierung mit leeren Anmeldedaten und die Wiederverwendung einer Verbindung voraus.
• Nur libcurl: CVE-2026-18924 verlangt HTTP/2 Server Push, die Multi-API, gemeinsam genutzte Verbindungen und einen vom Callback akzeptierten Push. CVE-2026-82208 ist auf Builds mit wolfSSL und eine besondere CA-Cache-Konfiguration begrenzt.
• TLS- und Zertifikatspfade: CVE-2026-80229 betrifft OpenSSL 3 mit Providern und gepoolte Verbindungen, die ihre ursprünglichen Easy Handles überleben. CVE-2026-80230 setzt Public-Key-Pinning bei zugleich abgeschalteter Peer- und Hostprüfung voraus. CVE-2026-80231 betrifft die Wiederverwendung von HTTPS-Verbindungen mit abweichenden Einstellungen des nativen CA-Speichers auf Windows oder macOS.
• Cookies: CVE-2026-80255 kann das Secure-Attribut verfehlen, wenn unmittelbar davor ein Tabulator steht; ein Cookie könnte anschließend über unverschlüsseltes HTTP gesendet werden. CVE-2026-82209 setzt libpsl, einen Domain-Cookie an einer Public-Suffix-Grenze und einen späteren Kontakt zu einer fremden Subdomain voraus.
• wcurl unter Windows: CVE-2026-80256 erlaubt über prozentkodierte Backslashes das Anlegen einer neuen Datei außerhalb des gewählten Verzeichnisses. Eine vorhandene Datei wird dabei nicht überschrieben, und die Rechte des aufrufenden Benutzers gelten weiterhin.

Eine pauschale Zuordnung aller zehn CVEs zu jedem Paketfund wäre deshalb falsch. Selbst innerhalb derselben Version unterscheiden sich die erreichbaren Fehlerpfade erheblich; umgekehrt können Anwendungen eine eigene libcurl-Kopie mitbringen, die in der Paketliste des Betriebssystems nicht auffällt.

Der wolfSSL-Fall zeigt die Grenze reiner Versionsprüfungen

CVE-2026-82208 entsteht nur in einem mit wolfSSL gebauten libcurl, wenn CA-Caching aktiv ist und ein Callback über CURLOPT_SSL_CTX_FUNCTION den Trust Store ersetzt. Nach dem Callback kann libcurl den zuvor zwischengespeicherten CA-Speicher wieder einsetzen und dadurch ein Zertifikat akzeptieren, das der von der Anwendung gewählte Speicher ablehnen würde. Das Advisory zu CVE-2026-82208 grenzt die betroffenen Upstream-Versionen auf 8.9.1 bis einschließlich 8.21.0 ein und nennt 8.22.0 als korrigierte Version.

Das Kommandozeilenprogramm ist von diesem Fehler ausdrücklich nicht betroffen. Auch Builds mit GnuTLS, Schannel oder einem anderen TLS-Backend erreichen diesen konkreten Codepfad nicht. Das Beispiel zeigt, weshalb ein Scannerfund zu curl 8.21.0 zwar eine Prüfung auslösen sollte, aber noch keine Aussage über die praktische Ausnutzbarkeit liefert.

Bei den OpenSSL-bezogenen Meldungen gelten andere Grenzen. Der Use-after-free in CVE-2026-80229 verlangt echte OpenSSL-3-Provider; Forks ohne diese Provider fallen nicht darunter. CVE-2026-80230 gilt dagegen auch für mehrere OpenSSL-Forks, benötigt aber eine ungewöhnlich geschwächte Verifikationskonfiguration. CVE-2026-80231 ist wiederum kein Provider-Fehler, sondern auf den nativen CA-Speicher unter Windows und macOS beschränkt.

So lässt sich die konkrete Betroffenheit eingrenzen

Die Priorisierung sollte bei der tatsächlich verwendeten Komponente beginnen und erst danach die Versionsnummer bewerten. Für ein belastbares Inventar sind vier Entscheidungen nötig.

1. Komponente bestimmen: Läuft nur das Programm curl, bindet eine Anwendung libcurl ein oder ist wcurl im Einsatz? Bei Anwendungen und Containern zählt die zur Laufzeit geladene Bibliothek, nicht ein zusätzlich installiertes Kommandozeilenpaket.
2. Build und Plattform erfassen: Relevant sind vor allem wolfSSL, OpenSSL 3 samt Providern, OpenLDAP und libpsl. Windows und macOS benötigen wegen des nativen CA-Speichers eine eigene Prüfung; die wcurl-Lücke ist auf Windows begrenzt.
3. Genutzte Funktionen abgleichen: HTTP/2 Server Push, Connection Sharing, Negotiate mit leeren Anmeldedaten, Cookies, Public-Key-Pinning, CA-Caching und die Wiederverwendung von Verbindungen entscheiden darüber, welche Pfade erreichbar sind. Eine lediglich einkompilierte Funktion belegt noch keine Ausnutzbarkeit.
4. Korrekturstatus feststellen: Für curl und libcurl ist 8.22.0 der gemeinsame bereinigte Upstream-Stand. Bei wcurl ist entweder die mit curl 8.22.0 ausgelieferte Fassung oder die separat veröffentlichte Version 2026.08.30 korrigiert.

Innerhalb der Serie verdienen die beiden als mittel eingestuften Fälle besondere Aufmerksamkeit. Bei CVE-2026-19931 kann die Anfrage eines zweiten Benutzers über eine zuvor für einen anderen Benutzer authentifizierte Negotiate-Verbindung laufen. CVE-2026-80256 wird relevant, wenn wcurl unter Windows Dateinamen aus nicht vertrauenswürdigen Download-URLs ableitet.

8.22.0 ist der Upstream-Zielstand, Paketstände bleiben herstellerspezifisch

Für direkt vom Projekt bezogene Builds beseitigt curl 8.22.0 die neun curl- und libcurl-Probleme; die mitgelieferte aktuelle wcurl-Fassung schließt zusätzlich die Windows-Lücke. Bei Linux-Distributionen kann ein korrigiertes Paket jedoch weiterhin eine ältere Basisversion anzeigen, wenn der Anbieter die Patches zurückportiert hat. Dann sind das Sicherheitsbulletin und der Changelog der jeweiligen Distribution aussagekräftiger als ein bloßer Vergleich der Versionszeichenfolge.

Der bestätigte Stand ist damit zweistufig: Die Fehler sind upstream korrigiert, ihre Dringlichkeit muss aber anhand der real eingesetzten Komponente und Konfiguration bewertet werden. Ein vollständiges Inventar muss sowohl eingebettete libcurl-Kopien als auch separate wcurl-Installationen erfassen; andernfalls entstehen zugleich blinde Flecken und Fehlalarme.

Lesen Sie auch:

• KI-Kompetenz zahlt sich aus – aber nicht in jeder Branche gleich
• ChatGPT und Claude fielen zugleich aus – ein zweiter Anbieter genügt nicht
• YouTube empfiehlt 4K-Thumbnails – 1280 × 720 ist nicht mehr der Richtwert