Sechs neue curl-CVEs: KI-System AISLE findet, was Frontier-Modelle verpassten

curl-Chef Daniel Stenberg hatte am 24. August öffentlich dokumentiert, dass seine Security-Teams mit Frontier-KI-Systemen praktisch nichts gefunden hatten: Anthropic Mythos meldete null zusätzliche Funde, OpenAI Codex Security zeigte eine leere Liste. Kurz darauf lief das autonome Security-System AISLE über den curl-Quellcode - und fand 29 potenzielle Schwachstellen. Sechs davon hat das curl-Security-Team inzwischen bestätigt und pünktlich zu curl 8.22.0 als offizielle CVEs veröffentlicht.

Die sechs Lücken im Überblick

• CVE-2026-80229: Use-after-free im OpenSSL-Provider
• CVE-2026-80230: Umgehung des Certificate-Pinning
• CVE-2026-80231: Connection-Reuse beim nativen CA-Store
• CVE-2026-80255: Secure-Attribute-Bypass bei Cookies
• CVE-2026-82208: wolfSSL-CA-Cache überschreibt Callback
• CVE-2026-82209: Domain-Scoped Public-Suffix-Cookie

Alle sechs gelten als Low Severity - ein Zeichen dafür, wie gut curl bereits auditiert ist. Interessant ist die Methodik: Es war kein Benchmark mit bekannten Antworten, sondern eine Analyse produktiver Software, bei der die curl-Maintainer selbst über die Gültigkeit jedes Funds entschieden. Der öffentliche, mit Zeitstempel versehene Null-Befund von Anthropic und OpenAI diente dabei als saubere Vergleichsbasis. Greg Kroah-Hartman, Maintainer der Linux-Stable-Kernel, berichtet inzwischen von ähnlichen AISLE-Ergebnissen im Linux-Kernel. Das stützt die “System over Model”-These: Spezialisierte AI-Systeme schlagen generische Frontier-Modelle bei der Zero-Day-Suche deutlich.