Use-After-Free в curl: CVE-2026-92392 позволяет RCE через HTTP/2
В curl 8.23.0 закрыли опасный Use-After-Free в HTTP/2. Уязвимость нашла команда Anthropic через свой OSS Scanner. Атакующий может выполнить код на клиенте, но для успеха нужно совпадение кучи условий — размер аплоада ~135 КБ, специфичный дистрибутив и TLS-стек. В реальности скорее упадёт, чем выполнит код.