cURL发布8.23.0版，修复HTTP/2上传中的释放后使用高危漏洞CVE-2026-92392，影响8.12.0至8.22.0版。恶意服务器可在客户端上传文件时触发内存错误，甚至远程代码执行，但利用条件苛刻，更可能仅致崩溃。升级即可修复，无法升级可禁用HTTP/2，命令行加--http1.1参数。

本文探讨内存安全策略，重点分析“释放后使用”漏洞及其应对方案。传统内存释放易引发类型混淆，使攻击者有机会劫持程序。对象池和代际索引虽能缓解问题，但仍存在逻辑错误或静默失败的风险。最彻底的方案是静态分配，如TigerBeetle数据库在启动时一次性申请全部内存，运行时永不释放，确保确定性并提升性能。此方法适用于有明确上限的系统，如金融交易，但通用服务器不适用。

Redis披露了一个TLS待处理数据处理中的释放后使用漏洞，攻击者可能利用该漏洞执行远程代码。官方CVSS评分为9.8（严重），但Redis自评为7.5（高危），因需认证和特定条件。建议升级至修复版本，限制网络访问并强化认证。目前未发现主动利用。