Daniel Stenberg kirjoitti 24. elokuuta Mastodoniin lyhyen päivityksen. Curlin perustaja oli ajanut kaksi tekoälypohjaista tietoturvatyökalua projektin lähdekoodin läpi, eikä kumpikaan löytänyt mitään: ”Mythos sanoo, ettei se löydä enempää. ... Codex security näyttää tyhjän listan.” Sitaatti on englanniksi.
Samana päivänä tietoturvayhtiö AISLE raportoi curl-projektille kolme haavoittuvuutta. Kaksi lisää tuli 26. elokuuta ja yksi 27. elokuuta. Kaikki kuusi korjattiin curl 8.22.0:ssa, joka julkaistiin 2. syyskuuta.
Stenbergin päivitykseen vastasi Linux-ytimen stable-haaran ylläpitäjä Greg Kroah-Hartman.
“Näen saman myös Linuxissa. Ei aavistustakaan, mitä Aisle tekee toisin, mutta vau...”
Kuusi löydöstä, kaikki vakavuudeltaan matalia
Curlin omat tiedotteet luokittelevat jokaisen kuudesta vakavuudeltaan matalaksi. Kaksi liittyy evästeiden käsittelyyn, kolme TLS-varmenteiden ja yhteyksien uudelleenkäyttöön, yksi wolfSSL:n varmennevälimuistiin.
Konkreettisin on CVE-2026-80229, käyttö vapautuksen jälkeen OpenSSL:n provider-kontekstissa. Se koskee versioita 8.14.0–8.21.0 ja vain libcurl-kirjastoa käyttäviä ohjelmia, ei komentorivityökalua. Löytäjäksi on merkitty Stanislav Fort Aisle Researchista, korjauksen kirjoitti Stenberg itse.
Versiossa 8.22.0 korjattiin yhteensä yhdeksän haavoittuvuutta. AISLE:n osuus on siis kaksi kolmasosaa, ja kolme tuli muualta.
25 vuoden haavoittuvuus on eri juttu kuin nämä kuusi
Uutisen yhteydessä on liikkunut CVE-2026-8932, ”curlin historian vanhin haavoittuvuus”. Se ei kuulu näihin kuuteen. Curlin tiedotteen mukaan sen raportoi Joshua Rogers Aisle Researchista 13. toukokuuta 2026, ja se korjattiin versiossa 8.21.0 jo 24. kesäkuuta.
Ikä pitää kutinsa: vika koskee versioita 7.7–8.20.0, ja 7.7 julkaistiin 22. maaliskuuta 2001. Väitettä curlin historian vanhimmasta en saanut vahvistettua projektin omilta sivuilta, eikä curl julkaise tilastoa haavoittuvuuksien eliniästä. Sen kaikkien versioiden taulukossa on esimerkiksi CVE-2000-0973, joka koskee versioita curl 4.0:sta lähtien. Myös CVE-2026-8932 on luokiteltu matalaksi.
Mitä ”nolla löydöstä” oikeasti todistaa
Vertailussa on reikä. Stenberg ajoi Mythoksen ja Codex Securityn omilla kehotteillaan, omalla budjetillaan ja omana ajankohtanaan, eikä hän tehnyt niistä kontrolloitua koetta. AISLE ei ole julkaissut omaa metodiaan: kehotteita, laskenta-aikaa tai sitä, montako ehdotusta se karsi ennen kuin lähetti kuusi eteenpäin.
Yksi asia yhtiön asetelmassa on silti vahva. Löydöksiä ei arvioitu vertailutestillä, jonka vastaukset voivat olla mallien opetusdatassa, vaan tuotantokoodista, ja curlin ylläpitäjät päättivät itse, mikä oli oikea vika ja mikä ansaitsi CVE-tunnuksen.
Väite ”Anthropicin malli ei löydä curlista mitään” kaatuu myös aikajanaan. Toukokuussa Mythos löysi curlista haavoittuvuuden, ja Stenberg kirjoitti siitä blogiinsa 11. toukokuuta. Malli esitti viisi löydöstä. Kolme oli vääriä hälytyksiä, jotka nostivat esiin API-dokumentaatiossa kuvattuja rajoituksia, yksi oli Stenbergin sanoin pelkkä bugi, ja yksi eteni matalan vakavuuden CVE:ksi versioon 8.21.0.
Samassa kirjoituksessa Stenberg laski, että AISLE, Zeropath ja OpenAI:n Codex Security olivat 8–10 kuukaudessa tuottaneet curliin yhteensä kahden ja kolmensadan välillä hyväksyttyjä bugikorjauksia. Työkalut siis toimivat. Ne vain eivät toimi otsikon mittakaavassa.
“Tekoälypohjaiset koodianalysaattorit ovat merkittävästi parempia löytämään tietoturvapuutteita kuin perinteiset koodianalysaattorit aiemmin. [...] Tämän mallin ympärillä ollut suuri kohu on toistaiseksi ollut ennen kaikkea markkinointia.”
Pitääkö suomalaisen ylläpitäjän tehdä jotain tänään
Curl ja libcurl ovat käytännössä jokaisessa Linux-palvelimessa, jokaisessa perusimagessa ja valtaosassa ohjelmistoja, jotka hakevat jotain verkosta. Se on syy, miksi tällaiset uutiset kiertävät nopeasti. Se ei kuitenkaan tarkoita, että kalenteriin pitäisi merkitä hätäpäivitys.
Kaikki kuusi ovat matalan vakavuuden vikoja, ja ne tulevat jakelujen normaalien tietoturvapäivitysten mukana. CVE-2026-80229:lle curl tarjoaa myös väliaikaisen keinon: yhteyksien uudelleenkäytön voi estää asetuksella CURLOPT_FORBID_REUSE. Osa vioista koskee vain libcurl-kirjastoa käyttäviä sovelluksia, ei komentorivin curlia.
Uutisten toistama ”yli 20 miljardia asennusta” on curl-projektin oma arvio omalla etusivullaan, ilman lähdettä. Luku kattaa autot, televisiot, reitittimet, tulostimet, puhelimet ja lääkintälaitteet eli kaiken, mihin libcurl on käännetty sisään. Suurin osa niistä ei koskaan päivity, mutta suurin osa niistä ei myöskään aja niitä koodipolkuja, joita nämä kuusi vikaa koskevat. Uhkakuvana luku on lähes hyödytön.
Kyberturvallisuuskeskus ei ollut tätä juttua kirjoitettaessa julkaissut curlista haavoittuvuustiedotetta, eikä keskukselta ollut käytettävissä kommenttia siitä, muuttaako löydös päivitysprioriteetteja.
6
AISLE:n raportoimaa haavoittuvuutta, kaikki matalan vakavuuden
Malli esitti viisi löydöstä: kolme väärää hälytystä, yksi pelkkä bugi ja yksi matalan vakavuuden CVE, joka korjattiin versiossa 8.21.0.
13.5.2026
CVE-2026-8932 raportoitiin
Joshua Rogers Aisle Researchista raportoi vian, joka koskee versioita 7.7–8.20.0. Korjaus julkaistiin 24. kesäkuuta versiossa 8.21.0.
Heinäkuu 2026
Curl piti kuukauden tauon raporttien vastaanotosta
Stenberg kuvasi taukoa mahdollisesti projektin parhaaksi päätökseksi pitkään aikaan. Koko kuukauden aikana hänen omaan sähköpostiinsa tuli yksi raportti.
24.8.2026
Kaksi työkalua tyhjin käsin, AISLE kolme löydöstä
Stenberg kertoi Mastodonissa, ettei Mythos eikä Codex Security löytänyt enempää. Samana päivänä AISLE raportoi projektille kolme haavoittuvuutta.
26.–27.8.2026
Kolme raporttia lisää
AISLE toimitti kaksi löydöstä 26. elokuuta ja yhden 27. elokuuta. Kaikki kuusi luokiteltiin vakavuudeltaan matalaksi.
2.9.2026
curl 8.22.0 korjasi yhdeksän vikaa
Kuusi korjausta tuli AISLE:n löydöksistä ja kolme muualta. Konkreettisin on CVE-2026-80229, käyttö vapautuksen jälkeen OpenSSL:n provider-kontekstissa.
Sanasto
CVE-tunnus
Kansainvälinen tunniste yksittäiselle ohjelmistohaavoittuvuudelle, esimerkiksi CVE-2026-80229. Tunnuksen avulla sama vika voidaan tunnistaa kaikissa tietoturvatiedotteissa ja päivityksissä.
Käyttö vapautuksen jälkeen (use-after-free)
Ohjelmointivirhe, jossa ohjelma käyttää muistialuetta, joka on jo vapautettu muuhun käyttöön. Tuloksena voi olla kaatuminen tai pahimmillaan hyökkääjän valitseman koodin suorittaminen.
libcurl
Curlin ohjelmakirjasto, jonka muut ohjelmat sisällyttävät itseensä hoitaakseen verkkoyhteydet. Osa vioista koskee vain libcurlia käyttäviä sovelluksia, ei komentoriviltä ajettavaa curl-työkalua.
Pullonkaula ei ole löytäminen
Kiinnostavin yksityiskohta koko jutussa on korjaustiedotteen alalaidassa. CVE-2026-80229:n löysi yhtiö, joka myy löytämistä, mutta korjauksen kirjoitti Stenberg. Sama toistuu käytännössä jokaisessa tekoälyavusteisessa löydöksessä: skanneri tuottaa raportin, ihminen käyttää tuntinsa sen arviointiin ja koodin korjaamiseen.
Curl piti heinäkuussa kuukauden tauon haavoittuvuusraporttien vastaanotosta. Stenberg kuvasi taukoa 3. elokuuta ilmestyneessä kirjoituksessaan mahdollisesti projektin parhaaksi päätökseksi pitkään aikaan, ja koko kuukauden aikana hänen henkilökohtaiseen sähköpostiinsa tuli hänen mukaansa yksi raportti. Se kertoo enemmän kuin mikään löytöluku.
Kun raportteja tuottavien työkalujen määrä kasvaa, ylläpitäjien tuntimäärä ei kasva mukana. Ennen kuin joku ratkaisee sen, kuka maksaa arviointityön, kilpailu siitä kenen malli löytää eniten CVE-tunnuksia on kilpailua siitä, kenen vapaaehtoinen väsyy ensin.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
