لغة Go تتوقف عن الثقة في مجموعة من الشهادات الوسيطة، والاتصالات التي تمر بها ستفشل

فُتح في مستودع لغة Go في 19 أكتوبر 2026 الـ issue رقم 82345 بعنوان “crypto/x509: mitigation for security concerns with a specific Certificate Authority”، وأُغلق في اليوم التالي. ويعلن الـ issue أن Go ستتوقف عن الثقة في مجموعة صغيرة من الشهادات الوسيطة، ضمن الثغرة المسجلة برقم CVE-2026-111943. ونزل الإصلاح في الإصدارين go1.27.3 وgo1.26.10، ويوصي النص بالترقية فورًا.

والشهادة الوسيطة هي الحلقة بين الجهة الجذرية الموثوقة وشهادة الموقع نفسه. فحين يتصل برنامج بخادم، يتحقق من سلسلة كاملة تبدأ بشهادة الخادم وتنتهي بجهة جذرية يثق بها، مرورًا بشهادة وسيطة أو أكثر.

والتغيير في السلوك محدد بجملة واحدة في النص: “Verify will now filter out chains which contain these intermediates, preventing them from being returned to the caller”. أي أن دالة التحقق لن تُصدر تحذيرًا ولن تكتب سطرًا في السجل، بل ستُسقط السلسلة، فيفشل الاتصال.

ونص الـ issue نفسه لم يسمِّ الشهادات. لكن مساهمًا في نقاش الـ issue نشر ثماني شهادات بأسمائها، كلها صادرة عن جهة اسمها eMudhra، وقال مساهم آخر إن قاعدة CCADB تسجّل إلغاءها بسبب cACompromise في 18 و19 أكتوبر. وهذه تفاصيل من نقاش المساهمين، لا من بيان رسمي.

وما يجعل القصة مهمة لفرق التطوير أن الخطر لا يقع في الغالب على شهادة موقع الفريق نفسه. فإذا كانت خدمة خارجية يستدعيها الـ backend تمر شهادتها بهذا المسار، فالكود الذي سيفشل بعد الترقية هو كود الفريق، والقرار اتُّخذ عند جهة أخرى تمامًا. وقليل من الفرق يعرف من يوقّع شهادات الخدمات التي تستدعيها يوميًا.