30秒で判断
- 対応すべき人: libcurl を組み込んだアプリ／ツールで、HTTP/2 のストリーム依存（
CURLOPT_STREAM_DEPENDS/CURLOPT_STREAM_DEPENDS_E）を設定し、ハンドルを再利用している方 - 対応不要な人: HTTP/2のストリーム依存ツリーを設定していない／curlを利用していない方
- 確認コマンド:
curl --versionでバージョンを確認し、コード内でCURLOPT_STREAM_DEPENDSを使っていないか grep
概要
CVE-2026-10536 は、libcurl における Use-After-Free（CWE-416）です。CVSSスコアは 9.8（Critical） です。
アプリケーションが CURLOPT_STREAM_DEPENDS または CURLOPT_STREAM_DEPENDS_E で HTTP/2 のストリーム依存ツリーを構成し、その後 curl_easy_reset() を呼び出し、最後に curl_easy_cleanup() でハンドルを破棄する、という一連の流れでこの問題が発生します。この最終クリーンアップ時に、reset 操作ですでに解放済みの内部構造へアクセス・変更しようとするため、Use-After-Free に至ります。
CVSS 評価
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| CWE | CWE-416（Use-After-Free） |
| 攻撃条件 | 特定のAPI利用パターン（HTTP/2ストリーム依存＋reset＋cleanup） |
| 影響 | メモリ破壊による異常終了や潜在的なコード実行 |
※ 正確なCVSSベクトルはNVDの原典をご確認ください。
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| curl / libcurl | 該当アドバイザリ記載の影響バージョン（curl.se/docs参照） |
curl コマンド単体よりも、libcurl を組み込んだ製品・スクリプトへの影響を優先的に確認してください。
修正バージョンと回避策
- curl のアドバイザリ（curl.se/docs/CVE-2026-10536.html）で案内される修正版へ更新してください。
- 直ちに更新できない場合は、HTTP/2 ストリーム依存ツリーの設定を回避する運用も緩和策となります。
関連リンク
データソース: NVD (NIST), curl project AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。