defer panic

⚠️ CVE-2026-111943 или почему вам нужно обновиться до Go 1.27.3/1.26.10 ⚠️

В отличие от прошлого раза, в этот всё гораздо проще: eMudhra (индийская компания, занимающаяся цифровыми подписями и имеющая корневой сертификат) выпустила 8 (!!!) промежуточных сертификатов, у которых соответствующие закрытые ключи < 256. Для понимания, современная криптография оперирует числами, у которых десятки или даже сотни знаков. То есть для подбора приватных ключей не нужен суперкомпьютер или даже просто современный компьютер — хватит калькулятора 🤦‍♂️. С их помощью можно подписать сертификат для любого сайта и большинство утилит приложений примут его как корректный.

При этом сами сертификаты промежуточные, поэтому их нельзя «отозвать» просто удалив из локального хранилища сертификатов, по аналогии с корневыми. С учётом того, что один из сертификатов имеет приватный ключ 4 (не 4 знака, а просто 4) то и выпустить рабочий сертификат для google.com может любой кулхацкер. Конечно сами сертификаты уже отозваны, а Chrome/Firefox/Safari уже ругаются на сайты, подписанные ими и не пускают пользователя дальше. Однако утилиты типа curl и wget и многих других по умолчанию не имеют системы проверки списка отозванных сертификатов (CRL — Cert Revocation List), из-за сложности механизма и огромного размера самого списка отзыва (именно поэтому Firefox и Chrome используют свои инструменты). В эти утилиты также попадают и наши бинарники на Go (issue 77143 об этом). Быстрого и полного решения нет, поэтому в качестве фикса Go Team на уровне стандартной библиотеки (а именно пакета x509) заблокировали эти 8 сертификататов и оперативно выпустили новый релиз.

Если ваши приложения ходят в сеть, как можно скорее обновите Go компилятор на локальных машинах и CI-сервере и начинайте деплой пересобранных образов и бинарей.

П.С. Больше инфы вот тут.