Curl macht Sommerpause bei Sicherheitsmeldungen
KI-generiert mit ChatGPT
Das Open-Source-Projekt Curl nimmt im Juli 2026 keine Sicherheitsmeldungen mehr an. Maintainer Daniel Stenberg nennt die Auszeit „curl summer of bliss“. Hinter dem augenzwinkernden Namen steckt ein ernstes Problem: eine Flut KI-generierter Vulnerability-Reports, die das kleine Team an die Belastungsgrenze bringt.
Was passiert da genau bei Curl?
Vom 1. Juli um 00:00 Uhr bis zum 3. August um 09:00 Uhr verarbeitet das Projekt keine Sicherheitsmeldungen mehr. Das HackerOne-Formular wird pausiert, die Sicherheits-E-Mail-Adresse wird zur Sackgasse. Wer in diesem Zeitraum eine Schwachstelle findet, muss bis August warten. Die Fehlermeldungs- und Pull-Request-Tracker auf GitHub bleiben davon unberührt.
Curl ist aus moderner Software-Infrastruktur kaum wegzudenken. Nach Angaben von Stenberg kommen das Kommandozeilenwerkzeug und die dazugehörige Bibliothek libcurl zusammen auf rund 30 Milliarden Installationen. Curl läuft auf Smartphones, Autos und Spielekonsolen. Als direkte Folge der Pause verschiebt das Projekt auch den nächsten Release. Version 8.22.0 erscheint erst am 2. September 2026. Der reguläre Veröffentlichungsrhythmus verschiebt sich damit um rund zwei Wochen.
AnzeigeWarum eine Pause ausgerechnet bei Sicherheit?
Die Begründung liefert Stenberg in einem Blogbeitrag zur Belastung im Mai 2026. Die Rate eingehender Sicherheitsmeldungen liegt vier- bis fünfmal höher als 2024 und doppelt so hoch wie 2025. Im Schnitt trifft mehr als ein Report pro Tag ein. Schon zur Jahresmitte zählt Curl zwölf bestätigte Schwachstellen. Damit erreicht das Projekt 2026 die Marke von 30 veröffentlichten CVE-Einträgen, ein Rekord. Ein CVE ist eine standardisierte, öffentlich katalogisierte Kennung für eine konkrete Sicherheitslücke.
Ein Großteil dieser Meldungen ist KI-generiert. Anders als noch 2025 ist das aber kein offensichtlicher Unsinn mehr. Die Berichte sind detailliert und ausführlich. Genau das macht die Arbeit so zäh. Jeder Report muss von einem Menschen geprüft, nachgestellt und gepatcht werden. Die Qualität der KI-Funde stieg, das Volumen blieb. Stenbergs Frau äußerte erstmals Sorge über seine Arbeitszeiten.
Curl gilt als einer der am gründlichsten geprüften Codebestände überhaupt. Das zeigte sich, als ein Mythos-Scan nur eine einzige Lücke geringer Schwere fand. Für ClawNews ist das ein bekanntes Muster. Wir haben bereits beschrieben, wie KI-generierte Bug-Reports den Linux-Kernel überfluten und warum Linus Torvalds die Notbremse zog.
Und was passiert bei einem echten Zero-Day?
Diese Frage stellt Stenberg selbst und beantwortet sie trocken. In einem echten Notfall erreicht die Meldung das Team auch im August. Kunden mit bezahltem Support-Vertrag werden während der Pause weiterhin vollständig betreut. Die Pause betrifft damit vor allem öffentlich gemeldete Fälle, die ehrenamtlich bearbeitet werden, nicht kommerzielle Vereinbarungen.
Stenberg ruft andere Projekte auf, es ihm gleichzutun. Beim XML-Parser libexpat hat Maintainer Sebastian Pipping bereits zugesagt. Was vor wenigen Jahren noch alles andere verdrängte, wird heute zunehmend planbar: Sicherheitsmeldungen. Wie schwer diese Last gerade auf kleinen Teams wiegt, zeigt auch der breitere Trend rund um KI-Müll im Netz.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
