Điểm chính

  • Dự án curl phát hành phiên bản 8.23.0 nhằm vá 24 lỗ hổng bảo mật quan trọng.
  • Lỗ hổng CVE-2026-86414 cho phép HTTP proxy độc hại đánh cắp thông tin xác thực của người dùng.
  • Quản trị viên hệ thống được khuyến cáo cập nhật phần mềm hoặc áp dụng giải pháp tạm thời ngay lập tức.

Dự án curl đã chính thức phát hành phiên bản 8.23.0 vào ngày 14 tháng 10 năm 2026, thực hiện một đợt cập nhật bảo mật quy mô lớn đối với công cụ truyền tải dữ liệu phổ biến toàn cầu với hơn 30 tỷ lượt cài đặt.

Chi tiết các lỗ hổng bảo mật mới phát hiện

Theo báo cáo từ các nhà nghiên cứu bảo mật tại AISLE, có tổng cộng 24 lỗ hổng đã được công bố, trong đó nhóm nghiên cứu này đã phát hiện ra 18 lỗi. Các vấn đề bao gồm rò rỉ thông tin xác thực, lỗi xác thực và những bất cập trong việc xử lý giao thức không an toàn trên curl và thư viện libcurl.

Đáng chú ý, lỗ hổng mã số CVE-2026-86414 được đánh giá là rất nguy hiểm. Nó cho phép một HTTP proxy độc hại đánh lừa libcurl nhằm chiếm đoạt thông tin xác thực vốn dành riêng cho máy chủ đích. Khi thiết lập đường hầm CONNECT, proxy có thể gửi phản hồi 401 kèm theo tiêu đề WWW-Authenticate giả mạo để thu thập mật khẩu Basic authentication hoặc các ticket Kerberos và Negotiate.

Ngoài ra, lỗi CVE-2026-94266 gây ra tình trạng rò rỉ mật khẩu thông qua biến CURLINFO_EFFECTIVE_URL khi curl lấy thông tin xác thực từ tệp .netrc. Rủi ro này tăng cao nếu các ứng dụng vô tình ghi lại URL này vào tệp nhật ký hệ thống.

Biện pháp khắc phục và khuyến cáo cho quản trị viên

Đội ngũ phát triển và các quản trị viên hệ thống cần nhanh chóng rà soát lại các phiên bản curl đang được vận hành trong hạ tầng. Việc nâng cấp lên phiên bản 8.23.0 là yêu cầu bắt buộc để hạn chế tối đa nguy cơ bị kẻ gian tấn công. Đối với những ứng dụng tích hợp sẵn thư viện libcurl, cần tiến hành biên dịch lại bằng phiên bản mới nhất.

Trong trường hợp chưa thể cập nhật ngay lập tức đối với lỗ hổng IMAP mang mã CVE-2026-87864, chuyên gia khuyến cáo nên tránh sử dụng tùy chọn CURLOPT_CRLF khi tải lên dữ liệu IMAP. Đây là phương án tạm thời giúp ngăn chặn việc kẻ tấn công chèn các lệnh không mong muốn vào phiên làm việc đã xác thực.

Việc duy trì một quy trình quản lý lỗ hổng chặt chẽ cùng việc theo dõi các thông báo chính thức từ dự án curl hay tài liệu MITRE CVE đóng vai trò then chốt giúp bảo vệ hệ thống trước các mối đe dọa an ninh mạng ngày càng tinh vi.