⚠️ CVE-2026-111943 или почему вам нужно обновиться до Go 1.27.3/1.26.10 ⚠️ В отличие от прошлого раза, в этот всё гораздо проще: eMudhra (индийская компания, занимающаяся цифровыми подписями и имеющая корневой сертификат) выпустила 8 (!!!) промежуточных сертификатов, у которых соответствующие закрытые ключи < 256. Для понимания, современная криптография оперирует числами, у которых десятки или даже сотни знаков. То есть для подбора приватных ключей не нужен суперкомпьютер или даже просто современный компьютер — хватит калькулятора 🤦‍♂️. С их помощью можно подписать сертификат для любого сайта и большинство утилит приложений примут его как корректный. При этом сами сертификаты промежуточные, поэтому их нельзя «отозвать» просто удалив из локального хранилища сертификатов, по аналогии с корневыми. С учётом того, что один из сертификатов имеет приватный ключ 4 (не 4 знака, а просто 4) то и выпустить рабочий сертификат для google.com может любой кулхацкер. Конечно сами сертификаты уже отозваны, а Chrome/Firefox/Safari уже ругаются на сайты, подписанные ими и не пускают пользователя дальше. Однако утилиты типа curl и wget и многих других по умолчанию не имеют системы проверки списка отозванных сертификатов (CRL — Cert Revocation List), из-за сложности механизма и огромного размера самого списка отзыва (именно поэтому Firefox и Chrome используют свои инструменты). В эти утилиты также попадают и наши бинарники на Go (issue 77143 об этом). Быстрого и полного решения нет, поэтому в качестве фикса Go Team на уровне стандартной библиотеки (а именно пакета x509) заблокировали эти 8 сертификататов и оперативно выпустили новый релиз. Если ваши приложения ходят в сеть, как можно скорее обновите Go компилятор на локальных машинах и CI-сервере и начинайте деплой пересобранных образов и бинарей. П.С. Больше инфы вот тут.

Пока я (за два месяца!!!) не осилил написать релиз ноты для 27ой версии, Коля уже успел оформить готовый блог. Рекомендую.

🥂Разбор Go 1.27 полностью дописан! Вы уже, наверно, забыли о том, что вышла новая версия языка, и что я пишу о ней статью.. 😩 В статье появились разделы про аллокации и рантайм, net/http, портируемый SIMD и go fix, а в самом конце чек-лист на случай, если после апгрейда у вас упал CI. Всё новое читать отсюда. А ещё я добавил в большинство запускаемых код-сниппетов, включая старые, переключатель версии, чтобы сравнить новое поведение с прежним (там, где это имеет смысл). Так ещё интересней щупать изменения. Если запутались в истории обновлений этого обзора, можете тыкнуть на дату обновления (в шапке статьи), там будет хронология важных правок. ---- 😩 Честно говоря, на эту статью я потратил неадекватно много времени. Релиз вышел 19 августа, а на дворе уже октябрь. Каждый раз, когда я брал в работу новый пункт из release notes, упирался в вопросу «а почему?». Например, авторы пишут, что мелкие аллокации подешевели «до 30%» на микробенчмарке и примерно на 1% в реальном коде. Откуда такой разрыв? Пришлось лезть в исходники рантайма и гонять разные бенчмарки на трёх машинах. Оказалось, что ускорение выключается, пока сборщик мусора помечает живые объекты. Чем больше программа аллоцирует, тем чаще работает сборщик и тем реже ей достаётся ускорение. А ещё мне хотелось, чтобы всё это читалось интересно и легко, даже сухие разборы бенчмарков. К примеру, я очень долго возился с графиками, пытаясь сделать их максимально понятными, наглядными и простыми. Но оно того стоило. В итоге, обзор релиза превратился в небольшой, но глубокий экскурс во внутрянку актуального Go — как аллокатор раскладывает объекты по спанам, когда запускается сборщик мусора, как были устроены таймеры до 1.23, зачем процессору векторные регистры и др. Так что, даже если сам релиз вам не особо интересен, статья — хороший повод углубить свои знания. Ну и на собеседовании про аллокатор будет что рассказать. Надеюсь, вам понравится! ———— Теперь напьюсь отдохну, и пойду дописывать обновлённую серию статей про Планировщик. Работы непочатый край.. ❤️ Если захотите поддержать мой труд, милости просим в наш закрытый клуб. Я сейчас занимаюсь контентом фуллтайм и ничего не продаю, моё творчество остаётся публичным и бесплатным. Поэтому ваша поддержка очень важна.