Go 1.27.2 / 1.26.9 安全小版本发布：含多项运行时与工具链修复

Go 团队在 golang-announce 邮件列表宣布，已发布 Go 1.27.2 与 Go 1.26.9 两个小版本，按安全策略包含多项修复。公告时间为2026年10月8日。本稿只记录这一次发布本身；后续若已有更新的小版本（例如社区已讨论的 1.27.3 / 1.26.10），升级时请以 go.dev 当前最新补丁为准，勿与本次 1.27.2 / 1.26.9 混为一谈。[1]

公告列出的修复覆盖 net/http（含 HTTP/2 相关稳定性与资源限制）、crypto/tls、cmd/go（模块与工具链校验相关）、html/template、net/textproto 与 mime/multipart、os（Windows 路径边界）等包。官方表述侧重服务端在异常请求下的稳定性、内存与 CPU 占用控制，以及工具链校验完整性，建议相关环境尽快更新到对应补丁版本。[1]

获取方式：可在 https://go.dev/dl/ 下载二进制与源码包；若用 Git 源码编译，可 checkout 至 go1.27.2（或维护线上的 go1.26.9）后按惯例构建。更完整的变更说明见发布说明页中 go1.27.2 条目。[1]

对跑 HTTP 服务、反向代理、模板渲染或 Windows 上使用 os.Root 相关能力的项目，把 CI 基础镜像与生产 toolchain 对齐到上述补丁版本，通常比单独评估每一项编号更省事。若环境已升到更新的小版本，则无需回退到 1.27.2。

说明：安全类小版本仅作升级提示，不展开利用细节；漏洞编号与技术描述以 golang-announce 原文及 go.dev issue 为准。

来源

[1] [security] Go 1.27.2 and Go 1.26.9 are released，golang-announce，2026年10月8日。

#Go #Go1.27.2 #Go1.26.9 #安全更新 #golang