Descripción
Una transferencia `ftp://` configurada con `CURLUSESSL_NONE` puede reutilizar una conexión de control FTP del pool que un easy handle anterior actualizó con `STARTTLS` y autenticó mediante un certificado de cliente. El segundo handle no realiza un nuevo handshake TLS ni un nuevo inicio de sesión FTP, por lo que el servidor continúa autorizándolo bajo la identidad del certificado del primer handle.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- curl Afectadas: 8.21.0 a 8.21.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en curl.securl.se/docs/CVE-2026-86411.json
- Referencia en curl.securl.se/docs/CVE-2026-86411.html
- Referencia en hackerone.comhackerone.com/reports/3973190
Ver el texto original en inglés (CVE.org)
FTP connection reuse inherits client-certificate
An `ftp://` transfer configured with `CURLUSESSL_NONE` can reuse a pooled FTP control connection that a previous easy handle upgraded with `STARTTLS` and authenticated using a client certificate. The second handle performs neither a new TLS handshake nor a new FTP login, so the server continues to authorize it under the first handle's certificate identity.