Curl закрывает почту для уязвимостей на июль: «Злодеи не отдыхают. Но мы — да»

Месяц намеренной тишины

Дэниел Стенберг объявил «летнее блаженство» curl: с 1 июля по 3 августа 2026 года curl не будет принимать отчёты об уязвимостях ни через форму HackerOne, ни через почту безопасности. Трекеры GitHub остаются открытыми, клиенты платных контрактов получают «полное и должное обслуживание», выход версии 8.22.0 сдвигается на 2 сентября. Причина человеческая, не техническая: Стенберг пишет о «колоссальном давлении последние четыре месяца» и о том, что команде нужен «отдых». Фраза, которую процитировали все:

«Злодеи не отдыхают. Но мы — да.»

Для программы, встроенной буквально во всё, «мы отключаем почту безопасности» — это по-настоящему радикальное заявление.

Аплодисменты — и бизнес-модель, которую никто не назвал

Большинство в треде поддержало, но наиболее популярный инсайт переосмыслил шаг как коммерческий.

«Заголовок закопал главное — это способ взять летний отпуск И стимулировать корпоративные контракты поддержки, которые будут доступны даже во время заморозки.» — инвестор и давний наблюдатель open-source

Сооснователь стартапа и бывший инженер React-команды уложил это в три слова: «какая блестящая реклама». Заморозка рекламирует ценность платных отношений, отзывая бесплатные.

Лазейка и автобусный фактор

Обеспокоенные нашли слабое место. Один читатель указал на лазейку с контрактной работой: если исследователи раскроют уязвимость публично во время заморозки, платящие клиенты «могут надавить на выпуск фикса», и отдых не гарантирован. Более жёсткий структурный довод прозвучал так:

«Это снова подсвечивает нашу коллективную зависимость от горстки людей, работающих фактически бесплатно и без подстраховки. Большинство нормальных организаций ротируют отпуска… меня огорчает, что даже у чёртового curl нет финансовых мышц, чтобы держать кого-то на дежурстве один месяц.» — комментатор об автобусном факторе

Успокоили прагматики: curl достаточно зрелый, чтобы шанс серьёзной новой уязвимости за месяц был близок к нулю, а если она появится, «кто-нибудь найдёт способ связаться с Дэниелом» — главное, чтобы патч попал в пакетные менеджеры, а не ждал upstream-релиза.

Отдых как инфраструктура

Здесь история не про отпуск — а про мейнтейнера с достаточным авторитетом, чтобы публично сказать «нет». Curl может это позволить именно потому, что это curl: проверенный годами, медленно меняющийся, с платящими клиентами в качестве подстраховки. Uncomfortable следствие, от которого тред не смог уйти: самая критичная сантехника интернета держится на людях, чья единственная страховка, когда им наконец нужна пауза, — закрыть дверь и надеяться.