Invoking Encrypted Client Hello privacy leak in crypto/tls

中 5.3CVE-2026-42505 · BIT-golang-2026-42505 · GO-2026-5856 · 08/07/2026 公開 · 25/10/2026 更新

要点

CVE-2026-42505 は stdlib, go (golang) に影響する深刻度「中」 (CVSS 5.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.38%（全脆弱性の 32.3% より高い）。
対処：1.26.5, 1.27.0-rc.2, 1.25.12 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
stdlib Go	`≥ 1.26.0-0, < 1.26.5≥ 1.27.0-0, < 1.27.0-rc.2< 1.25.12`	`1.26.51.27.0-rc.21.25.12`
go golang	`= 1.27≥ 1.23.0, < 1.25.12≥ 1.26.0, < 1.26.5`	`1.25.121.26.5`

概要

Handshakes which used Encrypted Client Hello could be de-anonymized by a passive network observer due to a disclosure of pre-shared key identities in the unencrypted client hello.

NVD の説明

Handshakes which used Encrypted Client Hello could be de-anonymized by a passive network observer due to a disclosure of pre-shared key identities in the unencrypted client hello.

参考情報

go.dev/cl/775960 · FIX
go.dev/issue/79282 · REPORT
groups.google.com/g/golang-announce/c/OrmQE_Yp5Sc · WEB
pkg.go.dev/vuln/GO-2026-5856 · Vendor Advisory

stdlib のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

stdlib

≥ 1.26.0-0, < 1.26.5≥ 1.27.0-0, < 1.27.0-rc.2< 1.25.12

1.26.51.27.0-rc.21.25.12

golang

= 1.27≥ 1.23.0, < 1.25.12≥ 1.26.0, < 1.26.5

1.25.121.26.5

概要

Handshakes which used Encrypted Client Hello could be de-anonymized by a passive network observer due to a disclosure of pre-shared key identities in the unencrypted client hello.

NVD の説明

Handshakes which used Encrypted Client Hello could be de-anonymized by a passive network observer due to a disclosure of pre-shared key identities in the unencrypted client hello.

stdlib のその他の脆弱性

すべて見る →