Non molto tempo fa abbiamo raccontato della difficile situazione che il progetto curl stava vivendo a proposito delle segnalazioni di anomalie e bug. Se infatti già a gennaio 2026 il programma di bug bounty era stato sospeso per via delle troppe segnalazioni (ovviamente dovute all’utilizzo di strumenti di intelligenza artificiale), sul finire di maggio Daniel Stenberg aveva fatto un’analisi di quanto fosse impossibile reggere oltre, arrivando ad auspicare un periodo sabbatico.

E così è stata sospesa la presa in carico di nuove segnalazioni per, testuali parole, restituire tempo a famiglia ed affetti.

L’evento, perché di questo si tratta, è stato battezzato la curl Summer of Bliss 2026, e già la parola “Bliss”, beatitudine, ne denota il suo scopo primario.

In un recente post, il creatore di curl ha spiegato com’è andata:

We (the maintainers of curl) took the entire month of July off from vulnerability reporting and in this post I will try to explain how this went.

Ci (i maintainer di curl) siamo presi l’intero mese di luglio senza prendere in carico report di vulnerabilità ed in questo post cercherò di spiegare com’è andata

Ed il riassunto veloce è: molto bene.

Ma sono tante le lezioni che il progetto è stato in grado di assimilare in questa esperienza, la prima dal punto di vista umano:

The effect was almost immediate. Just a few days into the bliss, my fellow curl maintainers all agreed with me that we felt a sense of relief, of vacation and that a load had been taken off our chests. We felt free, unchained, and now suddenly able to do what we wanted.

L’effetto è stato quasi immediato. Dopo appena pochi giorni di questa beatitudine, tutti gli altri manutentori di curl erano d’accordo con me nel provare un senso di sollievo, di vacanza, e che un peso ci era stato tolto dal petto. Ci sentivamo liberi, senza catene, e improvvisamente in grado di fare ciò che volevamo.

Questo periodo infatti, vale la pena di specificarlo, non è stato di vacanza: il progetto ha continuato ad operare come di consueto, solamente ha sospeso operazioni intensive e impegnative in termini di tempo come la gestione delle CVE.

Essendo il progetto una CNA (CVE Numbering Authority), ossia un’entità riconosciuta come autonoma nella gestione delle CVE, ha dovuto comunque garantire la risposta entro 72 ore di segnalazioni critiche che non potevano essere ignorate, ma di queste non se ne sono verificate ed in virtù di questo nessuna presa in carico si è resa necessaria nel periodo sabbatico.

Anche dal punto di vista dei clienti supportati attivamente ed a pagamento dal progetto (che in fondo sono la fonte primaria di risorse) nonostante un minimo iniziale scetticismo, non si è verificato nulla di anomalo o particolare.

Infine le community: il supporto per questa scelta è stato, a detta di Stenberg, trasversale, segno che la necessità di questo genere di azioni è concreta ed avvertita anche altrove.

Certo, un prezzo da pagare c’è, e consiste nell’accumulo dei report che inevitabilmente andrà smaltito, ma la verità è che, alla luce di tutte le cose positive che ha portato, è sembrato ai membri del progetto un prezzo più che adeguato.

Insomma, fermarsi per un mese non ha fatto crollare il progetto curl (almeno ad oggi), non ha risvegliato tutti i malintenzionati del mondo con l’idea di poter sfruttare un momento di minore attenzione lato CVE e, soprattutto, ha restituito entusiasmo a un gruppo di persone che, lo ricordiamo, lavora su un progetto che conta installazioni a miliardi.

Lo scorso articolo chiudeva con le parole “restiamo umani” e, considerato come in curl stiano già pensando ad un ReBliss, questo ci conferma come non sia solo possibile, ma forse anche necessario.