CVE-2026-111943

Nome do Software Vulnerável e Versões Afetadas Go versões anteriores a 1.27.3 Go versões anteriores a 1.26.10

Description Oito certificados de CA intermediários da eMudhra (emSign) apresentaram falhas na geração de chaves, permitindo a recuperação das chaves privadas. Este problema pode permitir que um invasor crie certificados fraudulentos que sejam aceitos por clientes que não verificam listas de revogação ou que possuam lojas de confiança desatualizadas. Para mitigar isso, uma lista de negação (denylist) foi adicionada ao pacote crypto/x509 para retornar um erro quando a função Verify() for chamada com qualquer um desses certificados intermediários não confiáveis. Estima-se que aproximadamente 30.000 certificados sejam afetados e precisem de migração.

Recommendations Atualize para o Go versão 1.27.3 ou 1.26.10 e reconstrua as aplicações. Como mitigação temporária, restrinja o uso da função Verify() em crypto/x509 ao processar certificados da cadeia emSign ECC Root CA - G3.