W alertach bezpieczeństwa pojawiła się luka CVE-2026-87862 w curl z oceną CVSS 8,1, czyli „wysoką”. Brzmi groźnie, ale twórcy curla sami oceniają ją jako niską. Wyjaśniam, skąd ta rozbieżność i czy Twoja strona ma powód do niepokoju.
Czym jest curl i czemu to ważne?
curl (i biblioteka libcurl) to narzędzie, którym programy łączą się z innymi serwerami. Korzysta z niego niemal każdy serwer WWW, a także PHP, więc pośrednio WordPress, sklepy i wtyczki, gdy rozmawiają z bramkami płatności, API czy serwerami aktualizacji. 14 października 2026 r. wyszła wersja curl 8.23.0, która łata aż 24 luki.
Na czym polega CVE-2026-87862?
- Błąd dotyczy mechanizmu HSTS, czyli listy stron, z którymi wolno łączyć się tylko przez szyfrowane HTTPS. curl może zapisywać taką listę w pliku i wczytywać ją ponownie.
- Przy wczytywaniu pliku curl może „zgubić” wpis subdomeny, jeśli wcześniej stoi wpis domeny nadrzędnej. Gdy wpis nadrzędny wygaśnie, połączenie z tą subdomeną może pójść zwykłym, nieszyfrowanym HTTP.
- Podatne są wersje od 8.11.0 do 8.22.0. Poprawka jest w 8.23.0 oraz w wersjach 8.20.2, 8.16.2 i 8.14.3.
Skąd ocena 8,1, skoro twórcy mówią „niska”?
Ocenę 8,1 nadała CISA (amerykańska agencja ds. cyberbezpieczeństwa), która liczy najgorszy możliwy scenariusz. SUSE ocenia lukę na 7,4, a twórcy curla – jako niską, bo problem występuje tylko w programach, które celowo zapisują listę HSTS w pliku. Debian uznał ją za drobną i nie wydaje osobnego biuletynu bezpieczeństwa. Zwykłe strony na WordPressie zwykle z tej funkcji nie korzystają.
To dobry przykład, że liczba CVSS to punkt wyjścia, a nie wyrok. Ta sama luka może być krytyczna dla jednego systemu i bez znaczenia dla innego. Liczy się to, czy dana funkcja jest używana na Twoim serwerze.
Co zrobić?
- Na własnym VPS lub serwerze: zaktualizować pakiety curl i libcurl z repozytorium systemu, a potem zrestartować PHP-FPM i serwer WWW.
- Na hostingu współdzielonym: aktualizacje robi hosting. Warto upewnić się, że robi je regularnie.
- Nie odkładać aktualizacji tylko dlatego, że ta konkretna luka jest mało groźna. W tym samym wydaniu curl załatano też lukę w obsłudze HTTP/2 (CVE-2026-92392), którą twórcy oceniają jako wysoką.
Dostajesz alerty bezpieczeństwa i nie wiesz, które dotyczą Twojej strony? Zrobię audyt bezpieczeństwa (od 200 zł netto): sprawdzę serwer, PHP, wtyczki i konta, a potem powiem, co naprawdę wymaga uwagi. Napisz do mnie.