Rete · 5 ore fa
Con Go 1.27.3 e 1.26.10, il team Go ha bloccato otto chiavi pubbliche di CA: i programmi ricompilati rifiutano le connessioni TLS ai servizi le cui catene di certificati le contengono. Il team ha motivato la scelta con problemi di sicurezza non precisati.
Il controllo riguarda la chiave pubblica, non il certificato che la contiene. Cambiare certificato o firmatario, quindi, non ripristina la fiducia se la catena usa ancora la stessa chiave; la connessione torna solo con una catena priva delle chiavi bloccate.
Mozilla aveva bloccato sei intermedi correlati il 17 ottobre, due giorni prima del rilascio Go del 20 ottobre. Un confronto di hash fatto da un terzo li associa a emSign, ma la testata non ha verificato autonomamente l’identificazione. Anche i servizi che non dipendono da applicazioni Go possono essere coinvolti se usano quegli intermedi: aggiornare i binari, da solo, non ripristina la connettività.
1 fonte che coprono questa storia
Go Issues Emergency Update Blocking Eight CA Keys Over Undisclosed Security Concerns
Go 1.27.3 and 1.26.10 block eight CA public keys, rejecting certificate chains that use them after applications are rebuilt.
Part of the PlainSec briefing for 2026-10-20