El equipo de desarrollo de Go ha publicado un parche de seguridad que corrige la vulnerabilidad CVE-2026-111943 en la librería crypto/x509. Esta actualización, identificada como el commit 90617fb en la rama release-branch.go1.27, introduce una medida de mitigación para desconfiar de un conjunto específico de intermediarios en las cadenas de certificados. El mecanismo de protección se basa en el filtrado de intermediarios mediante hashes SPKI de 256 bits, lo que permite identificar y bloquear certificados maliciosos o comprometidos que podrían ser utilizados para suplantación de identidad o inyección de código.
El cambio técnico consiste en la adición de una lista de hashes conocidos que el sistema de verificación ignora al validar cadenas de confianza. Esta aproximación es más precisa que las listas de bloqueo globales, ya que se centra únicamente en los intermediarios específicos que han sido comprometidos o maliciosos. La implementación afecta directamente a las funciones de verificación de certificados en el paquete crypto/x509, mejorando la robustez de la seguridad en aplicaciones que dependen de la validación de certificados SSL/TLS.
El parche fue revisado por varios ingenieros de Google, incluyendo Nicholas Husin, Neal Patel, David Chase, Roland Shoemaker y Carlos Amedee. La modificación se integra en la rama de desarrollo principal de Go, asegurando que las nuevas versiones de la librería incluyan esta protección. Este tipo de parches es crucial para mantener la integridad de las conexiones seguras en internet, ya que los certificados de intermediarios son un vector de ataque común en ataques de man-in-the-middle. La adopción de esta corrección es recomendada para todos los desarrolladores que utilicen la librería crypto en sus proyectos, ya que reduce el riesgo de exposición a ataques de suplantación de identidad.