curl 8.22.0、9件の脆弱性を修正　Negotiate認証の接続再利用不備など、8.21.0以前は更新を(CVE-2026-19931 他)

curlプロジェクトは2026年9月2日、curl／libcurlに存在する9件の脆弱性を公表し、修正版となるcurl 8.22.0を公開しました。

今回公表された9件のうち、深刻度MediumはCVE-2026-19931の1件で、残る8件はLowです。CVE-2026-19931では、Negotiate認証を利用する際に、あるユーザーが認証済みのHTTP接続を別のユーザーの通信で誤って再利用する可能性があります。

そのほか、OpenSSL 3のProvider利用時のUse-After-Free、公開鍵ピンニングの回避、Windows／macOSのNative CA Store設定をまたぐ接続再利用、wolfSSL利用時の証明書検証不備、HTTP/2 Server Push処理のUse-After-Free、CookieのSecure属性処理、Public Suffix ListをまたぐCookie送信、OpenLDAP SASL認証の検証不備が修正されています。

影響条件は脆弱性ごとに大きく異なります。curlコマンドだけではなく、アプリケーションやミドルウェアに組み込まれたlibcurlも対象となるため、情報システム部門ではOS上のcurlコマンドのバージョン確認だけでなく、製品・コンテナ・アプライアンスに内包されるlibcurlも含めた確認が必要です。

curl 8.22.0で修正された脆弱性のサマリー

• curlプロジェクトは2026年9月2日、9件の脆弱性を公表しました。
• 9件はいずれもcurl 8.22.0で修正されています。
• 深刻度はMediumが1件、Lowが8件です。
• MediumはCVE-2026-19931で、Negotiate認証時の接続再利用に関する問題です。
• CVE-2026-19931はcurl 7.64.1～8.21.0に影響します。
• CVE-2026-80229はOpenSSL 3 Provider利用時のUse-After-Freeです。
• CVE-2026-80230は特定条件でOpenSSL系バックエンドの公開鍵ピンニングが適切に適用されない問題です。
• CVE-2026-80231はWindows／macOSでNative CA Store設定が異なる接続を誤って再利用する問題です。
• CVE-2026-82208はwolfSSL利用時のCAキャッシュとコールバック処理に関する証明書検証不備です。
• CVE-2026-18924はlibcurlのHTTP/2 Server Pushと接続共有を組み合わせた際のUse-After-Freeです。
• CVE-2026-80255とCVE-2026-82209はCookie処理に関する情報漏えいリスクです。
• CVE-2026-13608はOpenLDAPバックエンドのSASL認証でMITMにより検証を回避される可能性があります。
• 複数の脆弱性は特定TLSバックエンドや特定オプション利用時のみ影響します。
• curlプロジェクトは原則として8.22.0への更新を最優先で推奨しています。
• 9月3日時点で、今回の9件について実攻撃での悪用を示す記載はcurl公式アドバイザリで確認できませんでした。
• 9月3日時点でCISA KEVへの掲載も確認できませんでした。

CVE	深刻度	主な問題	主な影響バージョン	修正版
CVE-2026-19931	Medium	Negotiate認証済み接続の誤再利用	7.64.1～8.21.0	8.22.0
CVE-2026-82209	Low	Public SuffixをまたぐCookie送信	7.46.0～8.21.0	8.22.0
CVE-2026-82208	Low	wolfSSL CAキャッシュによる証明書検証不備	8.9.1～8.21.0	8.22.0
CVE-2026-80255	Low	Secure Cookie属性の処理不備	8.13.0～8.21.0	8.22.0
CVE-2026-80231	Low	Native CA Store設定をまたぐ接続再利用	7.71.0～8.21.0	8.22.0
CVE-2026-80230	Low	OpenSSL系での公開鍵ピンニング回避	7.45.0～8.21.0	8.22.0
CVE-2026-80229	Low	OpenSSL 3 Provider利用時のUse-After-Free	8.14.0～8.21.0	8.22.0
CVE-2026-18924	Low	HTTP/2 Server Push処理のUse-After-Free	7.44.0～8.21.0	8.22.0
CVE-2026-13608	Low	OpenLDAP SASL認証の検証回避	7.82.0～8.21.0	8.22.0

最優先はCVE-2026-19931、Negotiate認証済み接続を別ユーザーへ再利用

今回の9件で唯一Mediumと評価されているのがCVE-2026-19931です。

libcurlは、HTTP Negotiate認証を利用して同じホストへ接続する際、既存のHTTP接続を再利用します。

問題となるのは、空の認証情報を利用した場合です。

Negotiate認証では、WindowsのSSPIやその他環境のGSSAPIが、libcurlの外側で現在の利用者の認証情報を保持することがあります。

そのためlibcurlから見ると同じ「空の認証情報」に見えても、実際の利用者がユーザーAからユーザーBへ変わる場合があります。

脆弱なバージョンではこの変化を認識できず、ユーザーAとして認証された既存接続をユーザーBのリクエストで再利用する可能性があります。

curlプロジェクトは、これによりユーザーBのリクエストがユーザーAとして認証済みの接続上で送信される可能性があると説明しています。

影響するのはcurl 7.64.1から8.21.0までで、8.22.0で修正されました。

暫定対策として、空の認証情報でNegotiate認証を利用する転送について接続再利用を禁止する方法も示されていますが、curlプロジェクトは8.22.0への更新を最優先で推奨しています。

CVE-2026-80229、OpenSSL 3 Provider利用時にUse-After-Free

CVE-2026-80229は、OpenSSL 3のProvider機能を利用するlibcurlで発生するUse-After-Freeです。

libcurlのmulti interfaceでは、TLS接続が元のeasy handleより長く存続する場合があります。

OpenSSL 3 Providerを使用する構成では、ライブラリコンテキストの所有関係が適切に管理されず、easy handleを先に破棄すると、接続側に解放済みメモリへの参照が残る可能性があります。

その後の通信やTLS処理で、ヒープ領域のUse-After-Freeが発生する可能性があります。

影響バージョンは8.14.0～8.21.0です。

この問題はOpenSSL 3以降のProviderを利用するlibcurlが対象で、OpenSSLのforkにはProviderがないため対象外とcurlは説明しています。

curlコマンドラインツールにも影響します。

CVE-2026-80230、公開鍵ピンニングを回避する可能性

CVE-2026-80230は、CURLOPT_PINNEDPUBLICKEY を使用した公開鍵ピンニングに関する問題です。

標準的なサーバー証明書検証を無効化する設定と公開鍵ピンニングを組み合わせた特殊な構成で、サーバー証明書が提示されない接続についてピンニングチェックが適用されず、本来拒否すべき接続を受け入れる可能性があります。

対象はOpenSSLのほか、BoringSSL、AWS-LC、LibreSSL、QuicTLSなどOpenSSL系TLSバックエンドを使うlibcurlです。

curlプロジェクトは、この状況を成立させるには、利用者側でも通常より弱いTLS検証設定を許可している可能性が高いと説明しています。

影響バージョンは7.45.0～8.21.0です。

CVE-2026-80231、Windows／macOSのNative CA Store設定を誤って再利用

CVE-2026-80231では、同一ホストへのHTTPS接続を再利用する際、Native CA Storeの利用設定が以前の接続と異なっていても、libcurlが既存接続を再利用する可能性があります。

対象OSはWindowsとmacOSです。

例えば、ある接続ではOSのNative CA Storeを使用し、別の処理では使用しない設定に変更した場合でも、以前のTLS接続がそのまま再利用される可能性があります。

影響バージョンは7.71.0～8.21.0です。

curlは8.22.0への更新のほか、暫定策としてNative CA Storeを利用する転送で接続再利用を禁止する方法を示しています。

CVE-2026-82208、wolfSSLの証明書検証設定をCAキャッシュが上書き

CVE-2026-82208は、wolfSSLをTLSバックエンドとして使用するlibcurlに限定された問題です。

CAキャッシュを有効にし、CURLOPT_SSL_CTX_FUNCTION コールバックを使って信頼ストアを差し替える構成で、コールバック処理後にlibcurlがキャッシュ済みのCAストアを再設定する場合があります。

その結果、コールバック側で信頼しないと判断した証明書であっても、キャッシュ側で信頼されていれば誤って受け入れられる可能性があります。

影響バージョンは8.9.1～8.21.0です。

この問題はlibcurlのみが対象で、curlコマンドラインツールには影響しません。

CVE-2026-18924、HTTP/2 Server Pushと接続共有でUse-After-Free

CVE-2026-18924は、libcurlのHTTP/2 Server Push処理に存在するUse-After-Freeです。

発生には複数の条件が必要です。

HTTP/2 Server Pushを有効化し、複数ハンドル間で接続を共有し、HTTPS／HTTP/2でサーバーと通信し、サーバー側からPushを受信し、アプリケーションがそのPushを受け入れる必要があります。

これらの条件がそろうと、クリーンアップ処理中に解放済みメモリへアクセスする可能性があります。

影響バージョンは7.44.0～8.21.0です。

curlコマンドラインツールには影響せず、libcurlを特定のAPI構成で利用するアプリケーションが対象です。

Cookie関連では2件を修正

curl 8.22.0ではCookie処理に関する2件の脆弱性も修正されています。

CVE-2026-80255では、Set-Cookie ヘッダーでSecure属性の直前に通常の空白ではなく水平タブ文字が使われた場合、curlがSecure属性を正しく認識しない問題があります。

その結果、本来HTTPSのみで送信すべきCookieが、後続のHTTP通信で平文送信される可能性があります。

影響バージョンは8.13.0～8.21.0です。

CVE-2026-82209は、Public Suffix Listを利用するCookieのドメイン境界チェックに関する問題です。

Public Suffixそのものを配信元とする特殊なCookieが、同一Public Suffix配下の別サブドメインにも送信される可能性があります。

curlはこの問題について、攻撃者自身が任意にCookieを設置できるわけではなく、Public Suffix側がそのCookieを発行し、その後curlクライアントが攻撃者側の兄弟ドメインへ接続する必要があると説明しています。

影響バージョンは7.46.0～8.21.0です。

CVE-2026-13608、OpenLDAP SASL認証でMITMによる検証回避

CVE-2026-13608は、OpenLDAPバックエンドを使用するlibcurlのSASL認証処理に存在する問題です。

SASLネゴシエーション中の不完全なハンドシェイクを、正常な暗号学的検証完了として誤認する可能性があります。

curlプロジェクトによると、中間者攻撃を実行できる攻撃者が途中の応答を挿入し、完全なピア検証を回避する可能性があります。

影響バージョンは7.82.0～8.21.0です。

ただし、LDAPSを利用している場合は、SASL処理に到達する前のサーバー証明書検証で偽サーバーが拒否されるため、この問題には到達しないとcurlは説明しています。

暫定策として、暗号化されていないLDAPを避ける方法も示されています。

9件すべて8.22.0で修正

今回の9件は、すべて2026年9月2日に公開されたcurl 8.22.0で修正されています。

curlプロジェクトの各アドバイザリでは、基本的な対応として、

1. curl／libcurl 8.22.0へ更新
2. 修正パッチを適用して再ビルド
3. 脆弱性ごとの機能を回避する

という順で対策を推奨しています。

複数の問題に個別の回避策がありますが、8.22.0への更新が可能であれば、個別設定を変更するより更新を優先した方が管理しやすいでしょう。

「curlコマンドのバージョン確認」だけでは不十分

企業の脆弱性対応で注意したいのは、curlが単独のコマンドラインツールとしてだけ使われているわけではないことです。

libcurlは多くのソフトウェアに組み込まれています。

そのため、

• Linux／Unixサーバー
• Windowsアプリケーション
• macOSアプリケーション
• コンテナイメージ
• ネットワーク製品
• セキュリティ製品
• 開発ツール
• 組み込み機器
• 自社開発アプリケーション

などの内部でlibcurlが利用されている可能性があります。

OS上で curl --version を確認して8.22.0になっていても、別アプリケーションが独自に古いlibcurlを同梱していれば、そのアプリケーション側には脆弱性が残る可能性があります。

逆に、Linuxディストリビューションなどでは、上流のバージョン番号を維持したままセキュリティ修正をバックポートする場合があります。

そのため、単純に「8.22.0未満だから脆弱」と判断するのではなく、利用しているOSや製品ベンダーのセキュリティアドバイザリも併せて確認する必要があります。

自社環境ではTLSバックエンドと利用機能も確認

今回の9件は、すべてのcurl利用環境が同じ条件で影響を受けるものではありません。

例えば、

• CVE-2026-82208はwolfSSL
• CVE-2026-80229はOpenSSL 3 Provider
• CVE-2026-80230はOpenSSL系バックエンドと弱い検証設定
• CVE-2026-80231はWindows／macOS
• CVE-2026-18924はHTTP/2 Server Pushと接続共有
• CVE-2026-13608はOpenLDAPバックエンド

という条件があります。

したがって、優先順位付けではcurlのバージョンだけでなく、

• TLSバックエンド
• OS
• HTTP/2 Server Push利用有無
• Negotiate認証利用有無
• LDAP／LDAPS利用状況
• Cookie利用
• Native CA Store利用
• libcurlのconnection sharing設定

などを確認すると、実際の影響範囲を絞り込めます。

実悪用とCISA KEVは現時点で確認できず

9月3日時点で、curlプロジェクトの今回の9件の公式アドバイザリには、実際の攻撃で悪用されているとの記載は確認できませんでした。

また、CISA Known Exploited Vulnerabilities Catalogについても、今回公表された9件が掲載済みであることは確認できませんでした。

公開PoCについても、curl公式アドバイザリでは個別に「公開PoCあり」とする案内は確認できませんでした。

したがって、現時点では「実悪用確認済み」や「KEV掲載済み」と表現することはできません。

一方、curl／libcurlは幅広い製品へ組み込まれているため、実悪用の有無だけで更新優先度を判断するのではなく、自社で利用する機能と影響条件を確認したうえで対応する必要があります。

情報システム部門への示唆

今回のcurl 8.22.0対応では、まずサーバーや端末にインストールされたcurlだけを見るのではなく、SBOMやパッケージ情報を使ってlibcurlを内包する製品を棚卸しすることが重要です。

確認項目としては、

• curl／libcurlのバージョン
• OSベンダーによるバックポート状況
• 独自ビルドされたlibcurlの有無
• コンテナイメージ内のlibcurl
• 商用製品に組み込まれたlibcurl
• TLSバックエンドの種類
• Negotiate認証の利用
• LDAP利用
• HTTP/2 Server Push利用
• Cookieを扱う自動処理

などが挙げられます。

特にCVE-2026-19931は今回唯一のMediumであり、複数ユーザーの処理を同一libcurlプロセス内で扱い、Negotiate認証と接続再利用を利用する環境では優先して確認したい脆弱性です。

一方、ほかの8件はLowですが、「Lowだから対応不要」と判断するのではなく、実際に該当機能を利用しているかを確認する必要があります。

curlは単体ツールよりもライブラリとして幅広いソフトウェアへ入り込んでいるため、「curlを使っている認識がないシステム」に残るケースが脆弱性管理上の課題になります。

出典

• curl CVEs – curl
• curl 8.22.0 Changes – curl
• CVE-2026-19931: Negotiate ambient user conn reuse – curl
• CVE-2026-82209: domain-scoped PSL domain cookie – curl
• CVE-2026-82208: wolfSSL CA-cache hit overrides callback – curl
• CVE-2026-80255: secure cookie attribute bypass with tab – curl
• CVE-2026-80231: native CA store conn reuse – curl
• CVE-2026-80230: OpenSSL pinning bypass – curl
• CVE-2026-80229: OpenSSL provider use-after-free – curl
• CVE-2026-18924: HTTP/2 server push UAF – curl
• CVE-2026-13608: OpenLDAP SASL authentication bypass – curl
• Known Exploited Vulnerabilities Catalog – CISA