Go 1.27.3 / 1.26.10 在 crypto/x509 封锁 eMudhra 外泄中继证书，需重新编译部署

继 PHP 相关修补之后，同一周 Node.js 与 Go 也接连发布安全更新。中华民国资通安全发展协会（ICSDA）2026 年 10 月 22 日整理指出：Go 请升到 1.27.3 或 1.26.10，且必须用新工具链重新编译并重新部署全部 Go 程序——只更新开发机或 CI 里的 Go 版本，已部署二进制不会自动带上补丁。[1]

事件源头是印度证书机构 eMudhra。2025 年 4 月一次密钥生成使用了有缺陷脚本，导致 8 张中继证书私钥可被推算（6 张用于网站 TLS、2 张用于代码签名），每张另有 Sectigo 交叉签署版本。研究人员于 10 月 17 日通报，Mozilla 亦证实可还原私钥。私钥外泄意味着攻击者可签发「看起来合法」的假证书，用于中间人攻击或伪造签名。截至整理时，Certificate Transparency 中未见这些中继签发过证书，也无确认滥用案例，但仍不能排除针对不检查 CT 的客户端的攻击。[1]

浏览器侧，Chrome、Firefox、Apple、Microsoft 等已通过 CRLSet、OneCRL 等方式封锁。真正的风险更常落在服务器与非浏览器程序：Go 程序、Node.js 服务、使用 certifi 的 Python、Java keystore，以及内置 CA 清单的设备与代理，在更新前仍可能信任这些证书。Go 的修补编号为 CVE-2026-111943：1.27.3 与 1.26.10 在 crypto/x509 加入封锁清单，证书链出现这 8 把公钥即验证失败。[1]

ICSDA 提醒：Go 是静态编译，补丁在标准库里；Dockerfile 里的 golang: 基础镜像也要一并改。第三方 Go 工具需等厂商用新版 Go 重编。更新后若某连接报证书错误，应联系对方换证，不要用 InsecureSkipVerify 等方式关掉验证。Node.js 本轮也修了含 Brotli 潜在 RCE 在内的多个漏洞，并同步把 eMudhra 中继加入封锁，可一并排进同一次维护窗口。[1]

来源

[1] 繼 PHP2Shell 之後：Node.js 修補漏洞、Go 封鎖 eMudhra 外洩中繼憑證，請更新並重新編譯 - ICSDA，2026年10月22日，查询日 2026-10-28。

#Go #eMudhra #CVE-2026-111943 #crypto/x509 #安全更新