Go sekiz ara sertifikayı engelledi ve kullanıcıları derhal yükseltme yapmaya çağırdı

Ne oldu

Go projesi, operasyonu güvenlik endişelerine yol açan bir sertifika otoritesine bağlı bir grup ara sertifikanın güvenilirliğini kaldırıyor. Değişiklik CVE-2026-111943 olarak kayıt altına alındı ve Go issue 82345 olarak izleniyor; duyuru 19 Ekim 2026'da Hacker News'in ana sayfasına ulaştı.

Go issue'ya göre değişiklik, Go programlarının TLS el sıkışmaları sırasında sertifikaları ayrıştırıp doğrulamak için güvendiği standart kütüphane paketi olan crypto/x509 içine geliyor. Issue metninde yalnızca birkaç ara sertifikadan bahsedilirken, issue'nun başlığı sayıyı netleştiriyor: blocklist üzerinde sekiz Subject Public Key Info (SPKI) değeri.

Go ekibinin önerisi net — normal bir yama döngüsünü beklemek yerine, bu azaltıcı değişikliği içeren sürüme hemen geçin. Issue ayrıca, yayınlanmadan önce başlangıçta dahili bir acil takip süreciyle ele alındığını belirtiyor.

Engel nasıl çalışıyor

Go'da sertifika doğrulama, aday zincirlerin oluşturulmasıyla gerçekleşir. Karşı tarafın sunduğu yaprak sertifikasından başlayarak crypto/x509, mevcut ara sertifikalar üzerinden sistemin zaten güvendiği bir kök sertifikaya giden yollar oluşturmaya çalışır ve bulduğu geçerli yolu doğrulanmış zincir olarak çağırana geri döndürür.

Azaltıcı değişiklik bu sürece müdahale eder: güveni kaldırılan ara sertifikalardan biri üzerinden geçen herhangi bir aday zincir, geri döndürülmeden önce çöpe atılır. Pratik sonuç, sanki hiç geçerli zincir yokmuş gibi bir doğrulama hatasıdır.

Blocklist'in SPKI değerlerine göre anahtarlanması, güvenin kaldırılmasının ara sertifikaların açık anahtarlarına bağlandığı anlamına gelir. Aynı anahtarlarla sertifikaların yeniden verilmesi güveni geri getirmez ve etkilenen ara sertifikaların altında verilmiş her yaprak sertifika, Go programları içinde kullanılamaz hale gelir. Tek tek son varlık sertifikalarını değil bir ara sertifikayı engellemek, tam da tek hamlede tüm bir verme alt ağacını kopardığı için standart bir PKI azaltma yöntemidir.

Operatörler ne yapmalı

Öncelikle, yükseltin. Düzeltme standart kütüphanede yer aldığı için, TLS doğrulaması yapan bir Go binary'si, yamalanmış bir toolchain ile yeniden derlendiğinde düzeltmeyi içine alır — bu da hem dağıtım pipeline'larının hem de container taban imajlarının kapsamda olduğu anlamına gelir.

İkinci olarak, ortamınızdaki herhangi bir şey etkilenen CA üzerinden bir zincir sunuyorsa kopukluk bekleyin. Bu, güveni kaldırılan ara sertifikalardan türeyen sertifikalara sahip uç noktaları çağıran giden istemcileri ve mutual TLS kurulumlarında istemci sertifikalarını doğrulayan gelen sunucuları kapsar. O CA'ya hâlâ güvenen her şeyin farklı bir CA'dan sertifika yeniden alması gerekecek.

Üçüncü olarak, yükseltmeden sonra logları izleyin. Dağıtımdan sonraki zincir oluşturma ve otorite hataları, bazı güven yollarının artık engellenen ara sertifikalara bağımlı olduğunun en net göstergesidir.

Neden önemli

Go'nun TLS stack'i, sunucuların, proxy'lerin, CLI araçlarının ve altyapı agent'larının çok büyük bir bölümünün arkasında yer aldığı için, standart kütüphanedeki bir doğrulama değişikliği ekosistem genelinde hızla yayılır. Bunun iki sonucu var.

Yükseltme yapmayan servisler, davranışları Go ekibini kesmeye ve CVE talep etmeye itecek kadar endişelendiren bir sertifika otoritesine güvenmeye devam ediyor. Yükseltme yapan servisler ise, karşı tarafın sertifikası engellenen ara sertifikalardan türemişse, daha önce çalışan bağlantıların başarısız olduğunu görebilir — güven açığını kapatan aynı değişiklik, o CA'ya gizli bağımlılığı da gün yüzüne çıkarır.

Issue, altta yatan endişeleri tanımlamıyor; dolayısıyla operatörler sorunun etrafından denetim yaparak dolaşamaz. Tek gerçek kaldıraç yamalamaktır ve Go ekibinin istediği de tam olarak bu.