curl 8.21.0に史上最多18件の脆弱性パッチ、25年前から存在したCVE-2026-8932も修正

「curlって毎日使ってるけど、脆弱性とか気にしたことなかったでしゅ」
「25年前から存在する脆弱性って、今まで誰も気づかなかったってこと？」

チップス

ボス！curlに18件も脆弱性があったって聞いたんでしゅけど、それって結構ヤバいでしゅか？

ボス

ヤバいな。curlはスマートフォンからサーバー、IoT機器まで世界30億台以上で使われているライブラリだ。そこに18件もの脆弱性が一度に判明し、最古のものは2001年から潜んでいたというのは、かなり深刻な話だぞ。

2026年6月24日にリリースされたcurl 8.21.0は、単なるバージョンアップではありませんでした。
史上最多となる18件のCVEを一括修正し、そのひとつは四半世紀にわたって誰にも発見されなかった脆弱性です。

史上最古の脆弱性を含む18件の全容と、AI主導の脆弱性発見という新潮流を解説します。

curl 8.21.0で18件の脆弱性が一括修正、史上最多記録を更新

今回の修正は、単発の脆弱性対応ではありません。ひとつのリリースで18件のCVEを処理するという、curlプロジェクト史上前例のない規模です。

25年前から潜んでいたCVE-2026-8932が示す脆弱性の実態

18件の中で特に注目されるのが、CVE-2026-8932です。
この脆弱性が最初に混入したのは2001年3月22日リリースのcurl 7.7。以来、25年にわたって誰にも発見されないまま、世界中の製品やシステムに組み込まれ続けてきました。

CVE-2026-8932の技術的な問題は、mTLS（相互TLS）の接続再利用にあります。
クライアント証明書や秘密鍵の設定が変更された後でも、libcurlが既存の接続をそのまま再利用してしまうため、本来とは異なる認証情報で通信が成立してしまいます。

今回修正された18件の主な脆弱性は以下の通りです。

チップス

25年間誰も気づかなかったって、どういうことでしゅか？！

ボス

オープンソースだからといって、全員がすべてのコードを精査しているわけではないからな。特にmTLSのような複雑な認証ロジックは、見落とされやすい領域だ。今回はAIが発見したことで、ようやく日の目を見たわけだ。

AIが発見を加速、curlに押し寄せた前例のない報告の波

今回の大量修正の引き金を引いたのは、人間の研究者ではありませんでした。

AnthropicのAIが最初のCVEを発見し、連鎖的な報告が殺到

2026年5月11日、AnthropicのMythos AIがcurlのひとつのCVEを特定したと発表。
これを機に、セキュリティ研究者やAIセキュリティプラットフォームが一斉にcurlの監査を開始し、報告が殺到しました。
AIセキュリティプラットフォームAISLEだけで6件のCVEを発見するなど、AI主導の脆弱性発見が実証的な成果を上げています。

curlが30億台以上のデバイスで使われている理由と、それが意味するリスクをまとめると以下の通りです。

即時更新が必要なバージョンと確認方法

curl 8.21.0より前のすべてのバージョンがCVE-2026-8932の影響を受けます。
特にlibcurlを組み込んだアプリケーションやミドルウェアは、ベンダー提供のパッチを確認してください。

チップス

curl使ってるアプリってどうやって見つけるでしゅか？自分で全部確認するの大変そうでしゅ…。

ボス

SCA（ソフトウェア構成分析）ツールを使えば、依存ライブラリを一覧で把握できるぞ。組織規模なら特にSBOM（ソフトウェア部品表）の整備を進めておくと、次の脆弱性情報にも素早く対応できる。

まとめ

curl 8.21.0で明らかになった18件の脆弱性は、25年間見過ごされてきた欠陥が今まさに修正されているという事実を示しています。
AIによる脆弱性発見の加速は、セキュリティの底上げにつながる一方、発見のスピードに対応が追いつかないリスクも生みます。
curl 8.21.0への更新と、依存ライブラリの定期的な棚卸しを今すぐ実施することが、組織を守るための第一歩です。

ボス

今回の件でひとつ確かなことがある。AIがセキュリティ研究の場でも実力を発揮し始めたという事実だ。守る側も、AIを使いこなす時代に入ったな。

チップス

うちのサーバーのcurlも今すぐ確認するでしゅ！ありがとうございましゅ！