El software de proxy Xray-core ocultó deliberadamente una vulnerabilidad crítica de verificación de certificados durante aproximadamente seis meses, según reveló un investigador de seguridad. La falla, identificada como un 'bypass' de verificación, permitía a los atacantes realizar ataques de hombre en el medio (man-in-the-middle) al desactivar la seguridad de certificados, una práctica que el equipo de mantenimiento de Xray-core había prohibido públicamente bajo la premisa de proteger a los usuarios de riesgos innecesarios.
El incidente comenzó en enero de 2026, cuando el proyecto eliminó una opción de seguridad previa y reemplazó la por una nueva configuración, pinnedPeerCertSha256. Esta nueva opción contenía la vulnerabilidad, que permitía saltarse la verificación de certificados estándar. Aunque el investigador reportó la falla el 6 de febrero de 2026, el equipo de Xray-core la corrigió silenciosamente el mismo día, sin notificar a los usuarios. La corrección fue posteriormente revelada como incompleta en julio de 2026, cuando se detectó que la verificación de certificados seguía siendo evitable en ciertas condiciones.
El autor del informe señala que la falta de transparencia y la mala gestión de la seguridad por parte de Xray-core dejaron a los usuarios expuestos a riesgos significativos durante un periodo prolongado. El caso destaca la importancia de la divulgación transparente de vulnerabilidades y la responsabilidad de los mantenedores de software en la protección de la seguridad de sus usuarios.