Стежити Критична вразливість у вбудованому вебсервері GoAhead може дозволити залишити дійсними скасовані клієнтські сертифікати під час взаємної автентифікації TLS, потенційно надаючи раніше довіреним ідентифікаціям продовжений доступ до захищених пристроїв та сервісів.
Відстежується як CVE-2026-115881, дефект має оцінку CVSS від постачальника 9.1 і впливає на версії GoAhead з 3.4.5 по 6.1.0, коли програмне забезпечення використовує свій сумісний з OpenSSL TLS фоновий процес із налаштованими списками відкликань сертифікатів. Проблему було виправлено в GoAhead 6.1.1.
GoAhead – це вбудований вебсервер, зазвичай інтегрований у маршрутизатори, принтери, шлюзи, промислові системи та інші мережеві продукти. Однак, вразливість не впливає на всі інсталяції GoAhead. Для експлуатації потрібна специфічна конфігурація взаємного TLS, і постраждале коло комерційних пристроїв не було встановлено.
Вразливість виникає з неправильного перевірки відкликань сертифікатів. GoAhead успішно завантажує налаштований список відкликань сертифікатів (CRL) у сховище сертифікатів OpenSSL, але не активує прапор OpenSSL, необхідний для забезпечення перевірки CRL. У результаті сертифікат, явний як відкликаний, все ще може пройти автентифікацію.
Для виявлення CVE-2026-115881 командам безпеки слід поєднувати інвентаризацію програмного забезпечення, ідентифікацію бекенду TLS, телеметрію сертифікатів і моніторинг взаємної TLS аутентифікації. Через те, що постраждалий сервер обробляє відкликаний сертифікат як дійсний, експлуатація може не породити очевидну відмову аутентифікації або традиційний підпис експлойту.
Користувачі SOC Prime можуть посилити покриття проти спроб експлуатації й підозрілої поведінки після автентифікації, співвідносивши дані про ідентичність, мережу, додатки й кінцеві точки через свій стек безпеки.
Натисніть Дослідження виявлень щоб отримати доступ до відповідного вмісту виявлення та логіки полювання. Для виявлення CVE-2026-115881 захисникам слід спочатку виявити вразливі розгортання GoAhead, а потім відстежувати аутентифікацію, виконану з сертифікатами, які вже повинні були бути відкликані.
Аналіз CVE-2026-115881
Вразливість існує у тому, як GoAhead інтегрує перевірку списку відкликань сертифікатів зі своїм сумісним з OpenSSL TLS бекендом.
У взаємному TLS обидві сторони аутентифікуються, використовуючи цифрові сертифікати. Організації можуть відкликати клієнтський сертифікат, коли пристрій відставлено, співробітник втрачає доступ, приватний ключ скомпрометовано або коли відповідній ідентичності більше не можна довіряти.
CRL надає серверу список сертифікатів, які мають бути відхилені.
Дослідники з FoxIO виявили, що GoAhead правильно завантажує налаштований CRL, використовуючи OpenSSL, але не вмикає прапор перевірки X509_V_FLAG_CRL_CHECK. Завантаження CRL у сховище сертифікатів саме по собі не змушує OpenSSL перевіряти статус відкликання сертифіката.
У результаті перевірка сертифікатів може успішно завершитись, навіть якщо клієнтський сертифікат вказано у налаштованому списку відкликань.
FoxIO відтворила проблему, використовуючи GoAhead 6.1.0 з OpenSSL 3.6.2. Під час тестування, відкликаний клієнтський сертифікат, підписаний довіреним ЦА, успішно завершив взаємну TLS рукостискання, навіть коли верифікація видавця була включена. Сервер не створював попереджень під час запуску, вказуючи на те, що перевірка відкликань була неефективною.
Цей безмовний провал є особливо значним, тому що адміністратори можуть обґрунтовано вважати, що налаштування CRL означає, що відкликані сертифікати будуть відхилені.
Деталі CVE-2026-115881 показують, що експлуатація вимагає наявності декількох умов:
- GoAhead повинен використовувати сумісний з OpenSSL TLS бекенд.
- Розгортання повинно вимагати клієнтські сертифікати.
- Повинен бути налаштований пакет довірених ЦА.
- Перевірка видавця сертифіката повинна бути ввімкнена для найяскравішого впливу на безпеку.
- Повинен бути налаштований CRL.
- Атакуючий повинен мати сертифікат, виданий довіреною владою, який був згодом відкликаний.
Таким чином, дефект не представляє загальний обхід автентифікації в протиразових інсталяціях GoAhead.
CVE-2026-115881 впливає на версії GoAhead з 3.4.5 по 6.1.0, які використовують вразливий шлях коду, сумісний з OpenSSL, з налаштованим CRL. GoAhead 6.1.1 виправляє проблему, включаючи перевірку CRL після завантаження списку відкликань.
Сценарій атаки є найбільш актуальним, коли у противника вже є колись дійсний сертифікат. Наприклад, вкрадений пристроєвий сертифікат може залишатися придатним, навіть після того, як адміністратори його відкличуть. Атака може потім автентифікуватися до будь-якого інтерфейсу управління, API або захищеного ресурсу, до якого ця ідентичність сертифіката має доступ.
Оскільки сертифікат криптографічно дійсний і підписаний очікуваним ЦА, звичайна перевірка ланцюга сертифікатів не обов’язково виявляє атаку. Відсутнім механізмом контролю є саме введення у дію відкликань.
FoxIO опублікувало PoC CVE-2026-115881 в рамках свого технічного дослідження, що демонструє вразливу поведінку перевірки сертифікатів. Дослідники також опублікували відбитки JA4Scan, які можуть допомогти організаціям ідентифікувати встановлення GoAhead і відрізняти TLS бекенди.
Ці відбитки корисні для виявлення експозиції, але їх не слід вважати доказом того, що пристрій вразливий. TLS відбитки можуть вказувати на те, що сервер схожий на певну комбінацію GoAhead/бекенд, тоді як фактична експозиція все ще залежить від версії та конфігурації на час компіляції.
Критичне питання OpenSSL було розкрите разом з двома додатковими вразливостями TLS GoAhead.
Окрема проблема, відстежувана як CVE-2026-115884, впливає на поведінку перевірки LibreSSL старішої версії і може дозволити перебір-ланцюг сертифікатів обійти обмеження глибини ланцюга GoAhead у специфічній конфігурації, де потрібні клієнтські сертифікати, але перевірка видавця вимкнена.
Інший дефект впливає на збірки GoAhead, що використовують Mbed TLS. Помилка довжини буфера може скоротити налаштований 2048-бітний модуль Diffie-Hellman до одного байту під час певних рукопотискань TLS 1.2 DHE_RSA, потенційно дозволяючи пасивному спостерігачу відновити ключі сесії, коли клієнт приймає неправильні параметри.
Це окремі вразливості з різними передумовами. Їх не слід плутати з CVE-2026-115881 при оцінці експозиції.
Часовий проміжок розкриття FoxIO вказує, що проблема з CRL у OpenSSL була повідомлена 30 квітня 2026 року. GoAhead 6.1.1, що містить виправлення, вийшов до будівників пристроїв 2 серпня, тоді як безпекові рекомендації були оприлюднені 12 жовтня. FoxIO опублікувало своє детальне технічне дослідження 26 жовтня.
Станом на 28 жовтня 2026 року у наданих джерелах немає повідомлень про те, що CVE-2026-115881 була експлуатована в реальних атаках.
Відповідно, немає спеціальних для кампанії CVE-2026-115881 IOCs, таких як підтверджені шкідливі IP-адреси, домени, хеші шкідливих програм або інфраструктура експлойтів, пов’язаних з експлуатацією в диких умовах.
Захисники повинні зосередитися на індикаторах експозиції та поведінкових сигналах:
- Версії GoAhead між 3.4.5 і 6.1.0
- Сумісний з OpenSSL TLS бекенд
- Ввімкнуто взаємний TLS
- Налаштований список відкликань сертифікатів
- Оснащення автентифікації із сертифікатами, чиї серійні номери вказані в CRL організації
- Несподіваний доступ з вийшлих з ладу або скомпрометованих ідентифікацій пристроїв
- Чутлива адміністративна активність після автентифікації на основі сертифікатів
- Нові зміни конфігурації або створення облікових даних, що виходять з вбудованих інтерфейсів управління
- Мережевий доступ до управлінських служб з несподіваних місць
Організації, що використовують централізовану PKI, також повинні корелювати TLS аутентифікацію з інформацією про життєвий цикл сертифікатів. Успішна подія автентифікації за допомогою сертифіката, який вже був відкликаний, має велике значення незалежно від того, чи є підлегла служба GoAhead.
Пом’якшення CVE-2026-115881
Основним способом усунення є оновлення GoAhead до версії 6.1.1 або пізнішої.
Виправлений випуск увімкнено забезпечення виконання CRL OpenSSL після завантаження налаштованого списку відкликань, що призводить до відхилення сертифікатів, позначених як відкликані, під час перевірки.
Для організацій, які безпосередньо розробляють продукти з GoAhead, оновлення компоненту вбудованого сервера повинно бути пріоритетом перед випуском нових збірок прошивки або програмного забезпечення.
Ситуація є більш ускладненою для кінцевих користувачів, які експлуатують комерційні маршрутизатори, шлюзи, принтери, промислове обладнання або інші пристрої, що містять GoAhead.
GoAhead, як правило, вбудований у прошику постачальника. Оновлення проекту GoAhead не автоматично оновлює інстальовані пристрої. Власникам обладнання тому необхідно отримати випуск прошивки від виробника, що містить GoAhead 6.1.1 або еквівалентне виправлення від постачальника.
Рекомендовані заходи по пом’якшенню для CVE-2026-115881 повинні включати:
- Інвентиризація пристроїв та додатків, які можуть вбудовувати GoAhead.
- Визначити встановлену версію GoAhead, якщо це можливо.
- Визначити, чи продукт використовує OpenSSL, Mbed TLS, LibreSSL або інший підтримуваний бекенд.
- Визначити, чи ввімкнено автентифікацію взаємного TLS.
- Перевірити, чи налаштований CRL.
- Звернутися до виробників пристроїв, щоб підтвердити, чи їх продукти містять уразливу реалізацію.
- Застосувати прошивку, що містить GoAhead 6.1.1 або специфічне виправлення від постачальника, як тільки воно стане доступним.
- Обмежити доступ до адміністративних і управлінських інтерфейсів.
- Обмежити управлінські служби до довірених мереж, VPN або спеціальних адміністративних сегментів.
- Переглянути статус всіх клієнтських сертифікатів, які мають право автентифікуватися на постраждалих пристроях.
Організації не повинні припускати, що наявність CRL доводить, що відкликання функціонує правильно.
Якщо це можливо з точки зору експлуатації, адміністратори можуть самі тестувати свою інфраструктуру, відкликаючи спеціальний тестовий сертифікат і перевіряючи, що пристрій відхиляє наступне з’єднання mTLS. Продуктивні сертифікати не повинні використовуватись для цієї перевірки.
Якщо негайне оновлення неможливе, мережева ізоляція стає особливо важливою. Управлінські інтерфейси, які відкриті незнайомим мережам, слід обмежувати, використовуючи правила брандмауера, сегментацію, списки контролю доступу або спеціальні управлінські мережі.
Організації також повинні переглянути свою PKI середу для сертифікатів, відкликаних через підозру у компрометації приватного ключа. Ці облікові дані становлять найбільший пріоритетний ризик, оскільки атакуючий, що володіє відповідним приватним ключем, може все ще мати змогу автентифікуватися на вразливі служби.
Якщо припускається компрометація, відкличте або замініть постраждалі облікові дані, змініть пов’язані секрети, перевірте адміністративні зміни та розслідуйте виконані під ідентичністю сертифіката дії.
Команди безпеки також повинні переглянути зміни конфігурації пристроїв, створення облікових записів, модифікації прошивки, записи автентифікацій та вихідні з’єднання, які здійснилися після підозрілого доступу на основі сертифікатів.
Інші вразливості TLS GoAhead, розкриті разом з CVE-2026-115881, вимагають окремих заходів по пом’якшенню.
Розгортання Mbed TLS, які постраждали від проблеми Diffie-Hellman, можуть оновитися до версії 6.1.1, вимкнути шифри DHE з кінцевим полем або перейти на бекенд OpenSSL. Розгортання LibreSSL, які постраждали від CVE-2026-115884, можуть оновити GoAhead, увімкнути перевірку видавця з пакетом довірених ЦА або перейти на новіше виконання LibreSSL або OpenSSL.
Зрештою, виробники пристроїв повинні перебудовувати уражену прошивку з виправленою версією GoAhead, перш ніж багато користувачів можуть застосувати виправлення. Організації, що управляють IoT, OT, мережевою інфраструктурою або вбудованими пристроями, тому повинні відстежувати рекомендації від постачальників замість звичайного покладання на вихідну версію GoAhead.
Відмова від відповідальності: Вміст для виявлення може бути недоступним для кожного CVE. Перевірте платформу SOC Prime для поточного покриття. Якщо відповідні виявлення ще не доступні, перевірте знову, оскільки нові загрози та вміст для виявлення постійно додаються.
FAQ
Що таке CVE-2026-115881 і як це працює?
CVE-2026-115881 – це критична вразливість перевірки сертифікатів у сумісному з OpenSSL TLS бекенді вбудованого вебсервера GoAhead. Коли адміністратор налаштовує список відкликань сертифікатів, GoAhead завантажує CRL, але не вмикає прапор OpenSSL, відповідальний за забезпечення перевірки відкликань. У результаті, сертифікат, що був явним як відкликаний, усе ще може завершити взаємну TLS аутентифікацію. Атакуючий повинен вже мати колись дійсний сертифікат і відповідний йому приватний ключ, щоб цей сценарій був корисним.
Коли CVE-2026-115881 було вперше виявлено?
Опублікована FoxIO контрольна хронологія вказує, що проблема з CRL у OpenSSL була повідомлена 30 квітня 2026 року. GoAhead 6.1.1, що містить виправлення, вийшла 2 серпня, відповідна безпеки рекомендація була опублікована 12 жовтня, а FoxIO опублікувала своє детальне технічне дослідження 26 жовтня 2026 року.
Який вплив CVE-2026-115881 на системи?
Успішна атака може дозволити залишити без змін доступ до служби GoAhead, захищеної взаємним TLS, для сертифіката, який був відкликаний. Залежно від привілеїв, пов’язаних з цим сертифікатом, атакуючий може потенційно доступити до адміністративних інтерфейсів, API, функцій управління пристроєм або до чутливої інформації, яка більше не повинна бути доступною відповідній ідентичності, яка була відкликана. EmbedThis оцінює уразливість як критичну з оцінкою CVSS 9.1, що відображає потенційний високий вплив на конфіденційність та цілісність.
Чи може CVE-2026-115881 все ще вплинути на мене в 2026 році?
Так. GoAhead 6.1.1 виправляє вразливість, але багато розгортань використовують GoAhead як вбудований компонент у комерційній прошивці. Кінцеві користувачі тому можуть все ще залишатися під загрозою до того, як виробник надасть оновлене зображення прошивки, що містить виправлену версію. Експозиція також вимагає специфічної сумісної з OpenSSL конфігурації mTLS та CRL, описаної вище, тому організації повинні перевірити свою фактичну конфігурацію пристроїв, замість допущення, що кожна інсталяція GoAhead вразлива.
Як я можу захистити себе від CVE-2026-115881?
Оновіть до GoAhead 6.1.1 або інсталюйте прошивку від постачальника вашого пристрою, яка містить виправлений випуск. Визначте системи, що використовують GoAhead, визначте їх фоновий процес TLS та конфігурацію mTLS, обмежте адміністративні інтерфейси довіреними мережами та підтвердьте, що відкликані сертифікати дійсно відхиляються. Організації також повинні уважно відстежувати безпекові рекомендації від постачальників, оскільки багато розгортань GoAhead можуть бути виправлені лише тоді, коли виробник продукту випустив оновлену прошивку.
