概要

Go言語の開発チームは10月8日、マイナーリリースのGo 1.27.2およびGo 1.26.9を公開した。両バージョンには、net/http、crypto/tls、net/textproto、mime/multipart、html/template、os、goコマンドなど標準ライブラリおよびツールチェインにまたがる15件のセキュリティ修正が含まれており、サーバーやツールチェインを利用する開発者には早急な更新が推奨されている。

修正された脆弱性の内容

今回の修正の中でも特に重要度が高いとされるのが、net/httpのトランスポートが複数のContent-Lengthヘッダーを受理してしまう問題で、HTTP/2経由でHTTP/1クライアントへレスポンスを転送する際にHTTPレスポンス密輸攻撃につながりうる欠陥だった。またhtml/templateでは、テンプレートリテラル式の開始位置で古いjsCtxが残留することによるXSSと、regexpPrecederKeywordsにES2015以降の予約語が含まれていないことに起因するXSSという、2件の異なるクロスサイトスクリプティング欠陥が修正されている。

ネットワーク関連では、HTTP/2サーバーが圧縮設定の変更をめぐる並行処理の不備によりクラッシュしうる問題や、トレーラー宣言を悪用したメモリ消費の肥大化、CONNECTリクエストの処理誤りによるレスポンスの誤配送、ファイル配信時のバイトレンジリクエストに関する欠陥、mime/multipartでのファイルアップロード時のメモリ上限回避、TLSハンドシェイク解析時のメモリ枯渇、HTTP/2からHTTP/1へのヘッダー変換の不備など、サービス妨害やデータ漏洩につながりうる欠陥が広範に修正された。チェックサム検証に関しても2件の欠陥が修正され、Windows環境ではosパッケージのファイルシステムジャンクションに起因する脆弱性にも対処している。

ツールチェイン側では、悪意のあるGOMODPROXYが設定された場合にgolang.org/toolchainおよびgolang.org/fips140のチェックサム検証を回避できる問題が修正された。これはビルド環境のモジュールプロキシ設定を信頼できない第三者に握られた場合、改ざんされたツールチェインやFIPS140準拠モジュールが検証をすり抜けて取り込まれる恐れがあるというもので、CI/CD環境でのGOMODPROXYの管理には引き続き注意が必要だ。

今後の対応

Go 1.27.2と1.26.9はいずれも2026年10月8日付でリリース済みで、各脆弱性の個別アドバイザリはGoの脆弱性データベースおよびGitHubの該当issueで公開されている。サーバー用途でGoを利用している開発者は、特にnet/httpのレスポンス密輸問題とhtml/templateのXSS問題について優先的に影響範囲を確認し、速やかにアップグレードすることが望ましい。