本文へ移動
情シスのミカタ
ニュース約3分で読めます

curlにHTTP/2アップロードの深刻な脆弱性 影響する版の切り分けを

定番の通信ツールcurl(libcurl)に、HTTP/2でアップロード中に起きる深刻な脆弱性(CVE-2026-92392・curl評価High)が見つかり、8.23.0で修正されました。Debianも更新(DSA-6558-1)を公開しています。影響は「HTTP/2でアップロードする・curl 8.12.0〜8.22.0」という条件に絞られます。該当するかの切り分けと対応を整理します。

公開 情シスのミカタ編集部AIにより執筆チェック済み
文字
curlにHTTP/2アップロードの深刻な脆弱性 影響する版の切り分けを

この記事のまとめ

  • 定番の通信ツール/ライブラリ curl(libcurl)に、HTTP/2でアップロード中に起きる解放済みメモリ使用(Use-After-Free)の脆弱性 CVE-2026-92392 が見つかりました。curl独自の評価はHigh(深刻)です。2026年10月14日に修正版の8.23.0が公開されました。
  • 悪意のある(または乗っ取られた)サーバーが特定の応答を返すと発火し、条件がそろえばリモートでコードを実行される恐れがあります。ただしcurl公式は、実際のコード実行までには多くの前提が必要で容易ではないとしています。悪用やCISAのKEV入りは確認されていません。
  • 影響するのは curl 8.12.0〜8.22.0 です。8.23.0以降と、8.12.0より前の古い版(7.x など)は対象外で、「新しめの版が対象で古い版は対象外」という点に注意が必要です。
  • Debianも更新(DSA-6558-1)を公開しました。対象はDebian 13(trixie)で、Debian 12(bookworm)は影響なしとされています。同じ更新で、Cookie・STARTTLS・プロキシ認証に関する軽〜中程度の3件も直ります。
こんな方に#30代#40代#50代実務
テーマ#curl#脆弱性#HTTP/2#パッチ管理#Debian
目次ひらく
  1. 1何が起きるのか
  2. 2影響する会社・しない会社
  3. 3情シスが今日やること

多くのサーバーやスクリプト、コンテナ、アプリに組み込まれている定番の通信ツール/ライブラリ「curl(libcurl)」に、深刻な脆弱性(CVE-2026-92392)が見つかりました。curl独自の評価はHigh(深刻)です。2026年10月14日に修正版の8.23.0が公開され、Debianも更新(DSA-6558-1)を出しています。ただし、影響するのは「HTTP/2でアップロードする・curl 8.12.0〜8.22.0」という条件に絞られます。まず自社が該当するかの切り分けから、公式情報をもとに整理します。

何が起きるのか

今回の中心となる脆弱性は、HTTP/2でのアップロード中に起きる「解放済みメモリ使用(Use-After-Free)」です。curl公式によると、アップロード中に、悪意のある(または乗っ取られた)サーバーが特定の応答(HTTP/2のRST_STREAM)を返すと、本来は解放したメモリを誤って使ってしまいます。

curl公式は、条件がそろえばこの問題をリモートでのコード実行(RCE)につなげられることを、自身の検証(PoC)で確認したとしています。一方で、実際にコード実行まで持ち込むには、curlの正確な版やメモリの配置、タイミングなど多くの前提が同時に必要で、容易ではないとも説明しています。公開時点で、悪用やPoC(実証コード)の公開、CISAの「悪用が確認された脆弱性の一覧(KEV)」への掲載は確認されていません。

影響する版の線引きは明確です。対象は curl 8.12.0〜8.22.0 で、問題のコードが入った8.12.0以降が該当します。8.23.0以降は修正済みで、8.12.0より前の古い版(7.x など)は対象外です。「新しめの版が対象で、古い版は対象外」という、ふだんとは逆の形になっている点に注意してください。

CVE-2026-92392の図解。発火の条件はHTTP/2を使用+アップロード(POST/PUT/ファイル送信)+相手が悪性/乗っ取られたサーバーで、サーバーが特定の応答(RST_STREAM)を返すと解放済みメモリ使用(Use-After-Free)が起き、条件がそろえばRCE。curl公式はPoCで確認済みだが多くの前提が必要で容易ではなく悪用・KEV掲載なし。影響する版は8.12.0〜8.22.0で、8.23.0以降と8.11以前(7.x)は対象外。対応はcurl 8.23.0以降への更新(バックポート8.20.2/8.16.2/8.14.3)、Debian 13 trixieは8.14.1-2+deb13u7以降(bookwormは影響なし)、回避はHTTP/1.1。同じ更新でCVE-2026-8286/8924/8927の3件も修正。切り分けはHTTP/2アップロードか・版が8.12〜8.22かの2点
curlのHTTP/2アップロードの脆弱性の条件と対応(編集部作成)作成: 編集部 / もとの資料: 情シスのミカタ編集部

影響する会社・しない会社

影響するのは、curlやlibcurlで、HTTP/2を使ってアップロード(POST・PUT・ファイル送信など)を行っている会社です。API連携、ファイルの送信、CI/CDでのアップロードなどが当てはまります。相手が信頼できない、または経路を奪われうるサーバーの場合に、特に注意が必要です。使っているcurlの版が8.12.0〜8.22.0に入るかどうかもあわせて確認してください。コンテナイメージや、言語のランタイムに同梱されたlibcurlも対象になります。

一方、ふつうの取得(GET)だけの利用や、HTTP/1.1での通信は、今回の中心の脆弱性の対象外です。また、8.12.0より前の古い版(7.x など)も、この脆弱性に限れば対象外です。Debianでは、Debian 13(trixie)が対象で、Debian 12(bookworm)は影響なしとされています。ただし「古いから安全」という判断はできません。古い版には別の既知の脆弱性が残っていることが多く、今回同梱で直る3件(CVE-2026-8286・8924・8927)は7.x系も影響範囲に含みます。

情シスが今日やること

  • 使っている版を確認する: サーバー・端末・コンテナ・CI/CDで使っているcurl/libcurlの版を curl --version などで確認し、8.12.0〜8.22.0に入るものを洗い出します
  • HTTP/2アップロードの有無を確認する: API連携・ファイル送信・CI/CDのアップロードなどで、HTTP/2を使っていないかを確認します。信頼できない相手や、経路を奪われうる相手への通信があるかも見ます
  • 修正版へ更新する: curlを8.23.0以降へ更新します(バックポート版の8.20.2・8.16.2・8.14.3でも可)。Debian 13(trixie)はcurlのパッケージを8.14.1-2+deb13u7以降へ更新します
  • すぐに更新できないとき: curl公式の回避策として、HTTP/2を使わず、HTTP/1.1にする方法があります。あくまで一時的な回避策として扱います
  • ついでに直る3件も確認する: 同じ更新で、Cookieの範囲の誤り(CVE-2026-8924)・STARTTLSの接続再利用(CVE-2026-8286)・プロキシ認証情報の漏えい(CVE-2026-8927)も直ります。いずれも軽〜中程度ですが、該当する利用がないか確認します
  • 記録を残す: 確認した版、更新した版、対応日を資産台帳に残します

curlは広く使われているため、見出しだけを見ると「すべての環境が危ない」と受け取りがちです。しかし実際の発火条件は限定的です。「HTTP/2でアップロードしているか」「版が8.12.0〜8.22.0か」の2点で切り分け、該当する環境を優先して更新を進めてください。

よくある質問

Qうちは影響しますか?

A今回の中心の脆弱性(CVE-2026-92392)が発火するのは、curl/libcurlで「HTTP/2」を使って「アップロード(POST・PUT・ファイル送信など)」を行っていて、相手が悪意のある、または乗っ取られたサーバーの場合です。ふつうの `curl https://…` のような取得(GET)や、HTTP/1.1での通信は対象外です。API連携、ファイル送信、CI/CDでのアップロードなどでHTTP/2を使っていないかを確認してください。あわせて、使っているcurlの版が 8.12.0〜8.22.0 に入るか(`curl --version` で確認)も点検します。コンテナイメージや言語のランタイムに同梱されたlibcurlも対象になります。

Qどう対応すればよいですか?

Acurlを8.23.0以降へ更新するのが基本です(バックポート版の8.20.2・8.16.2・8.14.3でも修正されています)。Debianを使っている場合は、Debian 13(trixie)でcurlのパッケージを更新します(8.14.1-2+deb13u7以降)。すぐに更新できない場合の回避策として、curl公式は「HTTP/2を使わない(HTTP/1.1にする)」ことを挙げています。同じ更新で、Cookieの範囲の誤り・STARTTLSの接続再利用・プロキシ認証情報の漏えいに関する3件(CVE-2026-8286・8924・8927)も直ります。

Q古いcurlなら安全ということですか?

A今回の中心の脆弱性(CVE-2026-92392)に限れば、8.12.0より前の古い版(7.x など)は対象外です。これは、問題のコードが8.12.0で入ったためです。ただし、古い版には別の既知の脆弱性が残っていることが多く、「古いから安全」という判断はできません。今回同梱で直る3件(8286・8924・8927)は、7.x系も影響範囲に含まれます。版の管理は、今回の件だけでなく全体で進めてください。

出典・参考

チェック済み。この記事は監修者によってチェックされました。(2026年10月14日)

執筆

情シスのミカタ編集部AIにより執筆

書いた AI: AI記者(解説)

法令・官公庁の発表・企業の公式発表などの一次情報を調べて、情シス向けの解説・比較・テンプレの記事を書きます。数字と日付は出典と照らして確かめ、記事の最後に出典を載せています。使っているAI: Anthropic Claude。

監修

佐々木 航株式会社Game

代表取締役。工学部出身で、21歳で起業してからシステム会社の経営一筋で8期目。アプリの受託開発から始め、いまはAIを使ったシステムソリューションを手がけています。150社以上の企業とのプロジェクトで培った開発と情報システムの現場の経験と声を形にし、激動の時代を乗り越えたいと考えています。

メモ: 掲載時に自動で(しばらくの間)

記事は AI が一次情報を調べて書き、機械の検査を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。

#curl#脆弱性#HTTP/2#パッチ管理#Debian#30代#40代#50代

役に立ったら、いいねと共有をお願いします

関連する記事

ニュースチェック済み

Canonical、PyJWTの脆弱性6件を修正 Ubuntuの認証処理を確認

ニュースチェック済み

SAPが10月に重大な脆弱性を修正 NetWeaver・S/4HANAなど、公開面は至急確認を

ニュースチェック済み

Canonical、YAMLの脆弱性を修正 Ubuntuの版と更新状況を確認

ニュースチェック済み

ChromeOS/ChromeOS Flexの安定版が更新 多数の脆弱性を修正

ニュースチェック済み

KomodoのPeripheryに脆弱性、非管理者の権限回避を防ぐ更新を

ニュースチェック済み

Zoom Workplaceに深刻度Highの脆弱性4件 全プラットフォームで更新を

ニュースの新着

ニュースの記事をもっと見る
ニュースチェック済み

サイバーリーズンが「LevelBlue」へ統合 EDRは継続の方針、契約と製品名の扱いを確認

ニュースチェック済み

Anthropicがシンガポール拠点開設、AI導入支援と安全性で政府連携

ニュースチェック済み

HAProxyのData Plane APIに認証バイパスの脆弱性 設定の全書き換えの恐れ

ニュースチェック済み

NTTインテグレーション、Wiz取扱開始でクラウド対策の優先順位付けを支援

ニュースチェック済み

Drupalコアに緊急の脆弱性、修正は10月15日未明に公開予定 サイト運営者は備えを

ニュースチェック済み

Windows 11でリモートデスクトップ接続が失敗する不具合 [管理者保護]絡み、回避策あり