Aisle、curlで6件の新CVEを発見 — 報告された中で最古の脆弱性を含む
Aisleの研究チームがcurlで6件の新しいCVEを発見しました。その中には25年以上前の最古の脆弱性も含まれています。これによりcurl 8.21.0のCVE総数は18件となり、Aisleが3分の1を占めます。この発見は、モデルに依存しないAIセキュリティシステムの有効性を示しています。
最近、サイバーセキュリティ企業Aisleの研究チームは、広く使用されているデータ転送ライブラリcurlにおいて6件の新しいセキュリティ脆弱性（CVE）を発見したと発表しました。その中には、報告された中で最古となる25年以上前の脆弱性が含まれています。curlは30億台以上のデバイスで動作しており、オペレーティングシステムからNASAのIngenuityヘリコプターまで、最も重要なソフトウェアの1つです。
2026年5月11日、curlの創設者Daniel Stenbergは、AnthropicのMythosモデルが1件のCVEを発見したと発表しました。このブログ投稿が研究の波を引き起こし、最終的にcurl 8.21.0リリースでは史上最多の18件のCVEが発行されました。Aisleはそのうち6件を占め、次点のAI組織は3件でした。
特に注目すべきはCVE-2026-8932で、curlで報告された最古の脆弱性であり、2001年3月22日リリースのcurl 7.7以降に存在します。この脆弱性はmTLS接続の再利用に関連し、クライアント証明書や秘密鍵の設定が変更された後でもlibcurlが既存の接続を再利用する可能性があり、認証バイパスを引き起こします。
その他の脆弱性は多岐にわたります：CVE-2026-8926は.netrc資格情報処理における資格情報の混乱、CVE-2026-8925はSASL認証における二重解放、CVE-2026-9080はマルチソケットコールバックライフサイクルにおけるUse-After-Free、CVE-2026-9547はSSHホスト検証の不適切、CVE-2026-10536はHTTP/2ストリーム依存関係におけるUse-After-Freeです。
Aisleはさらに、curl_easy_duphandle()のUse-After-Free、URL APIのヒープ境界外読み取り、HSTS共有無効化時のUse-After-Freeと二重解放など、複数のメモリ安全性の問題も報告しました。
これらの発見は、よく設計されたモデルに依存しないセキュリティシステムが、サイバーセキュリティタスクにおいて最先端モデルと競合し、低コストで優位に立つことができることを再確認させます。Aisleのプラットフォームは3件のCVEに対する修正パッチも自動生成し、明確に定義されたセキュリティタスクにおいて小規模モデルが優れた性能を発揮できることを示しています。Aisleはすべてのユーザーにcurl 8.21.0へのアップデートを呼びかけています。