צוות Go פרסם ב-20 באוקטובר 2026 את הגרסאות 1.27.3 ו-1.26.10, שמוסיפות חסימה של שמונה מפתחות ציבוריים של רשויות ביניים (intermediate CA) בגלל חששות אבטחה שלא פורטו.
הפרטים
מאמת התעודות של Go דוחה כל שרשרת שעוברת באחד המפתחות, המזוהים לפי גיבוב SHA-256 של המפתח הציבורי. לכן גם עותקים חתומים-צולבים שלהם נדחים. החסימה חלה גם כשהאימות מועבר למערכת ההפעלה ב-macOS וב-Windows, וגם כשהתוכנית מגדירה שורשי אמון משלה. אין הגדרה לכיבוי, והשגיאה שתוצג היא x509: no valid chains built.
צוות Go לא נקב בשם הרשות. מגיב בדיון ב-GitHub התאים את הגיבובים לתעודות ביניים של eMudhra, ו-The Hacker News לא אימת זאת באופן עצמאי. ב-17 באוקטובר הוסיפה Mozilla שש תעודות ביניים של emSign לרשימת החסימה OneCRL, גם כן בלי הסבר. לא נמצאה הצהרה פומבית של eMudhra.
נקודות לשים לב
- הרץ
go versionובדוק שאתה על 1.27.3, 1.26.10 או חדשה מהן. גרסאות 1.25 ומטה אינן נתמכות ולא יקבלו תיקון. - התוכנית משנה התנהגות רק אחרי בנייה מחדש; בינאריים ישנים ממשיכים כמו קודם.
- אם שירות שאתה מתחבר אליו או מפעיל נשען על תעודה מהרשות הזו, צפה לכשלי חיבור ודאג לתעודה מרשות ביניים אחרת.
- סביבות פרטיות שסומכות במכוון על אחד המפתחות ייכשלו גם הן; אין עדיין הבהרה אם זה מכוון.
- אל תסיק שהרשות נפרצה או שתעודות זויפו: הסיבה לא פורסמה.
מקורות: The Hacker News · Go issue 82345 · Go announce
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
