دانیل استنبرگ: curl زیر فشار سیل گزارشهای امنیتی
خلاصهٔ کاملتر
دانیل استنبرگ، بنیانگذار و توسعهدهنده اصلی curl که نزدیک به سی سال روی این پروژه کار کرده، در یک پست بلند و صادقانه از وضعیت فعلی پروژه گفته. curl (یک ابزار و کتابخانه انتقال داده) روی تقریباً سی میلیارد دستگاه در دنیا نصبه — از گوشی موبایل و ماشین گرفته تا سرویسهای آنلاین و تلویزیونهای هوشمند. همین گستردگی، امنیت curl رو به یه مسئله جدی برای همه تبدیل میکنه.
مشکل اصلی اینه: از اوایل ۲۰۲۶، نرخ دریافت گزارشهای امنیتی به پروژه ۴ تا ۵ برابر سال ۲۰۲۴ و دو برابر ۲۰۲۵ شده. بهطور میانگین، هر روز بیش از یک گزارش امنیتی میرسه. این گزارشها هم کیفیت خیلی بالاتری دارن، خیلی مفصلاند و نیاز به بررسی جدی دارن.
استنبرگ میگه تقریباً تمام وقتش الان صرف پردازش همین گزارشها روی پلتفرم HackerOne میشه: بررسی صحت ادعا، ارزیابی شدت آسیبپذیری، نوشتن پَچ، فهمیدن ریشه باگ، نوشتن توضیحات فنی برای عموم و هماهنگی با محقق امنیتی و تیم curl. این چرخه هر روز تکرار میشه.
فشار به حدی رسیده که برای اولین بار همسرش نگران ساعات کاری و بیتعادلی کار-زندگیش شده. استنبرگ میگه ممکنه مجبور بشه ساعات کارش رو کم کنه تا کمی نفس بکشه و نگران سلامت تیمشه. تا نیمه سیکل انتشار فعلی، دوازده آسیبپذیری تأییدشده منتظر انتشار CVE هستن — رکورد تازه پروژه — و پیشبینی میشه که تعداد CVEهای کل سال ۲۰۲۶ حداقل دو برابر عدد سی باشه.
یه نکته مثبت اینه که تقریباً هیچکدام از آسیبپذیریهای اخیر شدت HIGH یا بالاتر نداشتن و همه در سطح LOW یا MEDIUM بودن. آخرین CVE با شدت بالا مربوط به اکتبر ۲۰۲۳ه. هر باگ پیداشدهای هم که برطرف بشه، curl رو کمی بهتر میکنه.
استنبرگ از شرکتهایی که از curl یا libcurl در محصولات تجاریشون استفاده میکنن میخواد با حمایت مالی — مثلاً از طریق قراردادهای پشتیبانی — کمک کنن تا بتونن توسعهدهندههای بیشتری استخدام کنن و بار کار رو تقسیم کنن. با این حال، با واقعبینی میگه انتظار ندارد تغییر چشمگیری اتفاق بیفته و پروژه، مثل همیشه، این طوفان رو هم به تنهایی رد میکنه.
نکات کلیدی:
- نرخ گزارشهای امنیتی curl در ۲۰۲۶ به بیش از یک مورد در روز رسیده
- این ۴ تا ۵ برابر سال ۲۰۲۴ و دو برابر ۲۰۲۵ است
- دوازده CVE در انتظار انتشار — رکورد تازه پروژه
- پیشبینی: حداقل ۶۰ CVE تا پایان ۲۰۲۶
- تمام آسیبپذیریهای اخیر سطح LOW یا MEDIUM داشتن
- curl مستقل است و به هیچ شرکت یا سازمان حامی وابسته نیست
- استنبرگ از شرکتهای بهرهبردار میخواد از پروژه حمایت مالی کنن
