El equipo de desarrollo de Go ha implementado una mitigación de seguridad en la librería crypto/x509 para bloquear la confianza en un conjunto específico de certificados intermedios de eMudhra. Esta medida responde a la vulnerabilidad CVE-2026-111943, que afecta a la cadena de confianza de estos certificados. La actualización, lanzada el 20 de octubre de 2026, impide que la función Verify devuelva cadenas que contengan estos intermediarios, eliminando el riesgo de que el código se exponga a ataques de suplantación de identidad o inyección de certificados maliciosos.
La decisión se tomó tras la detección de compromisos de la cadena de certificados (cACompromise) por parte de eMudhra Technologies Limited y sus subsidiarias eMudhra BV e Inc. Los certificados afectados, que operan bajo nombres como EM DV TLS CA y EM OV TLS CA, fueron revocados el 18 y 19 de octubre. Aunque la lista de certificados comprometidos es pequeña, la recomendación oficial es actualizar inmediatamente a la nueva versión de Go para garantizar la integridad de las conexiones seguras. El parche ha sido distribuido en la rama principal y se están preparando backports para las versiones 1.26 y 1.27, asegurando la continuidad de la seguridad en las versiones anteriores.