EXPLOIT PÚBLICO
CVE-2026-111943 Certificados intermedios comprometidos no confiables en crypto/x509 de Go
Se agregó una lista de denegación en crypto/x509 que devuelve un error al llamar a Verify con certificados intermedios conocidos que ya no se consideran confiables. Esto cubre los casos en que los almacenes de confianza del sistema no se actualizan sin intervención adicional.
Alerta de Nureq Monitor
Detectada 23 OCT · 16:53
CVSS 3.1 · PRELIMINAR
—S/DPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,1 % PERCENTIL 3
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
Sí 1 REPOSITORIO
Qué es CVE-2026-111943
Se agregó una lista de denegación en crypto/x509 que devuelve un error al llamar a Verify con certificados intermedios conocidos que ya no se consideran confiables. Esto cubre los casos en que los almacenes de confianza del sistema no se actualizan sin intervención adicional.
Productos y versiones afectadas
Go standard library crypto/x509
Qué hacer
- Verificá si usás crypto/x509 y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Exploits y pruebas de concepto públicas
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Abrir la calculadora completa →
Descripción original
On most platforms, Go uses the given system root certificates. However, in some narrower cases, the system trust stores may not be updated without further action. To defend against the narrower set of cases that may remain affected, a denylist was added in crypto/x509 to return an error when calling Verify with any of the known intermediate certificates that are no longer considered to be trustworthy.
Referencias
- go.dev/cl/851047
- go.dev/issue/82345
- groups.google.com/g/golang-announce/c/66pojueaQek
- pkg.go.dev/vuln/GO-2026-6809
- www.openwall.com/lists/oss-security/2026/10/20/29
Historial de la alerta
- EXPLOIT PÚBLICO Se publicó el repositorio Xowap/i-can-count-to-four.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.