curl Summer of Bliss: 2026年7月の脆弱性報告の一時停止

curlが2026年7月の脆弱性報告を一時停止

curlプロジェクトは、2026年7月1日 (00:00 CEST) から 2026年8月3日 (09:00 CEST) まで、脆弱性報告の受け付けおよび処理を行いません。この期間は「curl summer of bliss」と呼ばれ、直前の4ヶ月間にわたる多大な業務負荷からメンテナーが回復するための計画的な休暇期間です。

この期間中、以下の制限が適用されます：

  • HackerOne Form: HackerOne上のcurlの提出フォームは一時停止されます。
  • Security Email: セキュリティ用メールアドレスは監視および処理されません。
  • General Policy: メール経由で送付される脆弱性報告は、原則として受け付けられません。このポリシーは休暇期間中および休暇終了後も継続して適用されます。

リリースと開発への影響

8月初旬に予想される問題のバックログに対応するため、curl 8.22.0 のリリース予定が変更されました。新しいリリース日は 2026年9月2日 です。

標準的な開発活動には影響ありません。curlプロジェクトのGitHub issueおよびpull-requestトラッカーは、7月を通じて開いたまま、アクティブな状態で維持されます。

サポート契約と緊急時の対応

有料サポート契約は、この一時停止の対象外です。サポート契約を締結している組織や個人は、「summer of bliss」期間中も、セキュリティ脆弱性の対応を含む、完全かつ適切なサービスを継続して受けることができます。

契約のない方については、7月に発見された緊急の脆弱性は、報告窓口が再開される8月3日まで対応されません。

コミュニティの視点と分析

この発表は、オープンソースのメンテナンスの持続可能性に関する、技術コミュニティ内での活発な議論を巻き起こしました。

持続可能性とバーンアウト

多くの観察者は、この決定を、メンテナーのバーンアウト（燃え尽き症候群）に対する必要な措置として称賛しました。特に、LLMが生成したmerge requestの増加や、重要なインフラを維持する一般的な負担に直面している現状において、その重要性が指摘されています。

「サポート契約」モデル

一部のコミュニティメンバーは、この一時停止を、エンタープライズ向けサポート契約の導入を促すための戦略的な動きと見なしました。これを有料サポートの「素晴らしい広告」と捉える人もいれば、セキュリティ対応の空白期間を作ることで「金をゆすり取る」ための手段であると批判する人もいました。

FOSS依存のシステム的なリスク

批判的な意見を持つ人々は、この動きがオープンソース・エコシステムにおけるシステム的な脆弱性を浮き彫りにしていると指摘しました。すなわち、グローバルなインフラが、組織的なバックアップなしに活動する少数の個人に依存しているという現状です。

"Most normal organizations stagger vacations to avoid these things... It's a weird, IMO unhealthy, twilight zone that isn't good for anybody. And it surprises - and saddens - me that not even friggin curl has the financial muscles to have somebody on-call for one month..."

セキュリティへの影響

一部のアナリストは、curlの成熟度を考慮すると、リスクは最小限であると主張しました。彼らは、もし重大なバグが見つかった場合、コミュニティがメンテナーに連絡を取る方法を見つけ出すか、あるいはアップストリームのリリース前にパッケージマネージャーによって修正が処理されるだろうと示唆しました。

Sources