AKTUELL
curl-Sicherheitsmeldungen: Kleinere Fälle wechseln zu GitHub
curl-Sicherheitsmeldungen der Schweregrade LOW und MEDIUM sollen ab dem heutigen 26. Oktober öffentlich auf GitHub bearbeitet werden. Schwerwiegendere Fälle bleiben zunächst im vertraulichen Meldeverfahren. Projektgründer Daniel Stenberg hatte die Umstellung am 20. Oktober angekündigt; die aktuelle curl-Richtlinie beschreibt bereits die neue Aufteilung.
Hinter der Änderung steht eine Überlastung des Entwicklungsteams durch zahlreiche Schwachstellenberichte. Mehr Beteiligte sollen künftig bei der Bewertung und Fehlerbehebung helfen können. Für Anwender entsteht dadurch allerdings ein früherer Einblick in manche Sicherheitsprobleme, für die noch kein fertiges Update vorliegt.
Welche curl-Sicherheitsmeldungen öffentlich werden
Die neue Grenze verläuft zwischen den vier Schweregraden des Projekts. Als gering oder mittel eingestufte Meldungen sollen als öffentlich sichtbare Fehlerberichte oder Änderungsvorschläge auf GitHub landen. HIGH und CRITICAL bleiben bis zur Bereitstellung einer korrigierten Veröffentlichung auf HackerOne unter eingeschränktem Zugriff.
Wer die Schwere eines Fundes nicht sicher beurteilen kann, darf ihn weiterhin zunächst vertraulich einreichen. Die Weiterleitung zu GitHub bedeutet zudem noch keine Anerkennung als Sicherheitslücke. Auch ein gewöhnlicher Programmfehler kann dort weiter untersucht werden. Damit ist der öffentliche Meldeort allein weder ein Beleg für eine bestätigte Schwachstelle noch für deren praktische Ausnutzbarkeit.
Viele brauchbare KI-Funde überfordern die Prüfung
Stenberg begründet den Schritt mit der Menge eingehender Berichte und der Belastung der zentralen Projektmitarbeiter. Nach seiner Ankündigung der Umstellung ließen sich in den vergangenen Jahren mehr als 90 Prozent der Einreichungen rasch unterhalb von HIGH einordnen.
Dabei geht es nach seiner Darstellung inzwischen überwiegend um brauchbare Hinweise. In einem weiteren Beitrag vom 22. Oktober schreibt er, erfundene KI-Berichte seien seit dem Frühjahr praktisch verschwunden. Aktuell bereiteten vor allem die hohe Zahl, ausufernde Erklärungen und die schwierige Abgrenzung zwischen Programmfehler und Sicherheitslücke Arbeit. KI könne zugleich gute Beispiele liefern, mit denen sich ein Fehler nachvollziehen lasse.
Das unterscheidet die geschilderte Lage von den bereits im Magazin behandelten Problemen mit KI-generierten Fehlmeldungen bei Apple. Für curl ist laut Stenberg gerade die Menge verwertbarer Funde zur Herausforderung geworden. Die Prüfung echter Fehler lässt sich nicht dadurch einsparen, dass ein Sprachmodell an ihrer Entdeckung beteiligt war.
Die offene Prüfung hat einen Preis
Die öffentliche Bearbeitung soll zusätzliche Unterstützung ermöglichen: bei der Einschätzung eines Fundes, beim Schreiben einer Korrektur und bei der Frage, ob benachbarte Programmstellen denselben Fehler enthalten. Stenberg erwartet außerdem, dass Linux-Distributionen und andere Abnehmer früher erkennen können, welche Korrekturen vorbereitet werden.
Die Arbeit pro Meldung verschwindet dadurch nicht. Sie soll sich auf mehr Beteiligte verteilen. Ob sich diese Entlastung tatsächlich einstellt, muss die Praxis zeigen.
Stenberg benennt auch den Nachteil: Öffentlich beschriebene Schwächen sind früher für mögliche Angreifer sichtbar. Zwischen Bekanntwerden und fertiger Korrektur kann damit ein größeres Zeitfenster entstehen. Das Projekt nimmt dieses Risiko für die niedrigeren Schweregrade in Kauf. Eine Einstufung als LOW oder MEDIUM bedeutet deshalb keine vollständige Harmlosigkeit.
Warum die Änderung auch gewöhnliche Anwendungen betrifft
curl ist vor allem als Werkzeug für Datenübertragungen bekannt. Die zugehörige Bibliothek libcurl stellt solche Funktionen anderen Programmen zur Verfügung, etwa für HTTPS-Verbindungen, Dateiübertragungen und die Anmeldung an Servern. Sie läuft unter anderem auf Windows, macOS und Linux. Deshalb betrifft die Pflege des Projekts auch Software, deren Nutzer den Namen curl nie bewusst sehen.
Für Leser in Deutschland und Europa kommt es damit auf die jeweilige Anwendung an. Ein öffentlich diskutierter Bibliotheksfehler sagt noch nicht, ob ein bestimmtes Programm die betroffene Funktion verwendet oder die notwendigen Angriffsbedingungen erfüllt. Die neue Meldepraxis begründet für sich genommen keinen konkreten Notfall auf dem eigenen Rechner.
Ein öffentlicher Bericht ist noch kein fertiges Update
Wie die Umstellung vorbereitet wurde, zeigt eine Mitteilung auf der curl-Mailingliste vom 23. Oktober. Darin nannte Stenberg 13 vorbereitete Sicherheitshinweise, die am Montag als öffentliche Änderungsvorschläge bereitgestellt werden sollten. Das war eine Ankündigung des Ablaufs, keine Bestätigung von 13 bereits ausgelieferten Korrekturen.
Für die praktische Bewertung bleiben die betroffenen Versionen, die Angriffsbedingungen und eine verfügbare Korrektur entscheidend. Die offizielle Sicherheitsübersicht führt veröffentlichte curl-Schwachstellen mit ihren Versionsbereichen auf. Eine Diskussion über einen möglichen Fehler und ein veröffentlichter Sicherheitshinweis haben dabei einen unterschiedlichen Status.
Der neue öffentliche Einblick kann Entwicklern und Administratoren helfen, sich früher vorzubereiten. Wie viel schneller daraus tatsächlich abgesicherte Software wird, hängt weiterhin davon ab, wer einen Fund prüft, die Korrektur testet und sie an die Nutzer ausliefert.
Stand der Recherche: 26. Oktober 2026, 11:11 Uhr MEZ.
Hauptquellen
- curl-Projekt: Aktuelle Richtlinie für Sicherheitsmeldungen
- Daniel Stenberg: Ankündigung der Umstellung zum 26. Oktober
- Daniel Stenberg: Einordnung der KI-generierten Sicherheitsberichte
- curl-Mailingliste: Vorbereitung der öffentlichen Sicherheitshinweise
- curl-Projekt: Übersicht veröffentlichter Sicherheitslücken
Transparenzhinweis: Die Angaben zur Belastung des Teams und zur Qualität der KI-Berichte stammen vom curl-Projektgründer. gadgetChecks hat keine eigene Schwachstellenanalyse durchgeführt und die erwartete Entlastung nicht unabhängig gemessen.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
