CVE-2026-115881：严重的GoAhead TLS漏洞允许已吊销的客户端证书

GoAhead嵌入式网络服务器中的一个严重漏洞可能允许被吊销的客户端证书在双向TLS认证期间保持有效，这可能使之前受信任的身份继续访问受保护的设备和服务。

该漏洞被追踪为CVE-2026-115881，具有供应商分配的9.1 CVSS评分，影响使用配置的证书吊销列表且使用OpenSSL兼容TLS后端的GoAhead版本3.4.5到6.1.0。该问题已在GoAhead版本6.1.1中修复。

GoAhead是一种常集成到路由器、打印机、网关、工业系统和其他网络连接产品中的嵌入式网络服务器。然而，并非所有的GoAhead安装都受到该漏洞的影响。利用这种漏洞需要特定的双向TLS配置，受影响的商业设备数量尚未确定。

此漏洞源于不当的证书吊销验证。GoAhead成功将配置的证书吊销列表（CRL）加载到OpenSSL的证书库中，但未能激活执行CRL检查所需的OpenSSL标志。因此，显式标记为吊销的证书仍可以完成认证。

对于CVE-2026-115881的检测，安全团队应结合软件清单、TLS后端识别、证书遥测和双向TLS认证的监控。由于受影响的服务器将吊销证书视为有效，利用行为可能不会产生明显的认证失败或传统的利用签名。

SOC Prime用户可以通过在其安全堆栈中关联身份、网络、应用和终端遥测数据，加强对利用尝试和可疑后认证行为的覆盖。

点击 探索检测 以访问相关的检测内容和搜索逻辑。要检测CVE-2026-115881，防御者应首先识别易受攻击的GoAhead部署，然后监控使用本应已被吊销的证书进行的认证。

联系销售

CVE-2026-115881分析

漏洞存在于GoAhead将证书吊销列表验证与其OpenSSL兼容TLS后端集成的方式中。

在双向TLS中，双方都使用数字证书进行认证。当设备退役、员工失去访问权限、私钥受到损害或不再信任相关身份时，组织可以吊销客户端证书。

CRL为服务器提供必须被拒绝的证书列表。

FoxIO研究人员发现，GoAhead正确地使用OpenSSL加载配置的CRL，但未能启用X509_V_FLAG_CRL_CHECK验证标志。仅将CRL加载到证书库中并不会导致OpenSSL检查证书的吊销状态。

因此，即使客户端证书出现在配置的吊销列表中，证书验证仍可以成功完成。

FoxIO使用GoAhead 6.1.0和OpenSSL 3.6.2重现了该问题。在测试中，由受信任CA签署的吊销客户端证书甚至在启用发行者验证时也能成功完成mTLS握手。服务器未生成任何启动警告，表明吊销检查无效。

这一静默故障尤其重要，因为管理员可能会合理地假设，配置CRL意味着吊销的证书将被拒绝。

CVE-2026-115881的详细信息显示，该漏洞的利用需要满足以下几个条件：

• GoAhead必须使用OpenSSL兼容的TLS后端。
• 部署必须要求客户端证书。
• 必须配置受信任的CA捆绑。
• 证书发行者验证必须启用，以获得最清晰的安全影响。
• 必须配置CRL。
• 攻击者必须拥有一个由受信任机构颁发且已被吊销的证书。

因此，该漏洞并不代表针对默认GoAhead安装的通用认证绕过。

CVE-2026-115881影响使用脆弱OpenSSL兼容代码路径并配置CRL的GoAhead版本3.4.5至6.1.0。GoAhead 6.1.1通过在加载吊销列表后启用CRL检查来修正此问题。

在攻击场景中，当对手已经持有先前有效的证书时最相关。例如，即使管理员吊销这些证书，被盗的设备证书仍可使用。攻击者可以认证到证书身份获授权访问的管理接口、API或受保护资源。

因为证书加密有效并由预期CA签署，普通的证书链验证不一定暴露攻击。缺失的控制措施特指吊销执行。

FoxIO已将CVE-2026-115881的PoC作为其技术研究的一部分公布，展示了漏洞证书验证行为。研究人员还发布了JA4Scan指纹，帮助组织识别GoAhead安装并区分TLS后端。

这些指纹对曝光发现有用，但不应被视为设备脆弱的证据。TLS指纹识别可以表明服务器类似于特定GoAhead/后端组合，而实际曝光仍取决于版本和编译时配置。

关键的OpenSSL问题与另外两个GoAhead TLS漏洞同时披露。

作为CVE-2026-115884跟踪的单独问题影响旧版LibreSSL验证程序的行为，并在需要客户端证书但禁用发行者验证的特定配置下，允许通过GoAhead的链深度限制。

另一个漏洞影响使用Mbed TLS构建的GoAhead。在某些TLS 1.2 DHE_RSA握手过程中，一个缓冲区长度错误可能会将2048位Diffie-Hellman模数减少到单字节，这可能允许被动观察者在客户端接受格式错误的参数时恢复会话密钥。

这些是具有不同前提条件的独立漏洞。在评估暴露情况时，不应与CVE-2026-115881混淆。

FoxIO的披露时间表显示，OpenSSL CRL问题于2026年4月30日报告。GoAhead 6.1.1包含修复的版本于8月2日发布给设备制造商，而安全咨询于10月12日公开。FoxIO于10月26日发布详细技术研究。

截至2026年10月28日，提供的来源中没有CVE-2026-115881被用于实际攻击的报告。

因此，目前没有与实际利用相关的CVE-2026-115881特定活动IOCs，例如确认的恶意IP地址、域、有效负载哈希或漏洞利用基础设施。

防御者反而应注重曝光和行为指标：

• GoAhead版本在3.4.5至6.1.0之间
• OpenSSL兼容的TLS后端
• 启用双向TLS
• 配置的证书吊销列表
• 使用组织CRL中序列号出现的证书进行认证
• 从退役或被损害设备身份的意外访问
• 基于证书认证后发生的敏感管理活动
• 嵌入式管理接口发起的新配置更改或凭证创建
• 来自意外位置的管理服务网络访问

使用集中PKI的组织也应将TLS认证与证书生命周期信息关联。在标记为吊销的证书上发生的成功认证事件是一个高价值信号，无论底层服务是否为GoAhead。

CVE-2026-115881缓解措施

主要的补救措施是将GoAhead升级到版本6.1.1或更高。

修补后的版本在加载配置的吊销列表后启用了OpenSSL CRL执行，导致被列为已吊销的证书在验证过程中被拒绝。

对于直接使用GoAhead开发产品的组织，应优先更新嵌入式服务器组件，之后再分发新固件或软件构建。

对于操作含有GoAhead的商用路由器、网关、打印机、工业设备或其他设备的终端用户来说，情况更为复杂。

GoAhead通常嵌入在供应商固件中。更新上游GoAhead项目不会自动更新已安装的设备。因此，设备所有者需要从制造商那里获取包含GoAhead 6.1.1或供应商提供的等效修复的固件。

推荐的CVE-2026-115881缓解流程应包括：

• 盘查可能嵌入GoAhead的设备和应用程序。
• 在可能的情况下确定已安装的GoAhead版本。
• 识别产品是否使用OpenSSL、Mbed TLS、LibreSSL或其他支持的后端。
• 确定是否启用了双向TLS认证。
• 检查是否配置了CRL。
• 联系设备制造商以确认其产品是否包含易受攻击的实现。
• 尽快应用包含GoAhead 6.1.1或供应商特定修复的固件。
• 限制对管理和管理接口的访问。
• 将管理服务限制在受信任的网络、VPN或专用管理分段中。
• 审核获得授权认证受影响设备的所有客户端证书的状态。

组织不应假定CRL的存在证明吊销功能正常。

在操作上可行的情况下，管理员可以吊销专用测试证书并验证设备拒绝后续mTLS连接，从而测试其自身基础设施。生产证书不应用于此验证。

如果无法立即修补，网络隔离变得尤为重要。暴露于不受信任网络的管理接口应通过防火墙规则、分段、访问控制列表或专用管理网络加以限制。

组织还应查看其PKI环境中因私钥泄露而吊销的证书。这些凭证代表高优先级风险，因为攻击者持有对应的私钥可能仍能够认证到易受攻击的服务。

如果怀疑受到损害，撤销或更换受影响的凭证，轮换相关秘密，检查管理变更，并调查证书身份下执行的活动。

安全团队还应复查设备配置更改、帐户创建、固件修改、认证记录和在可疑证书访问后发生的外部连接。

与CVE-2026-115881同时披露的其他GoAhead TLS漏洞需要单独的补救考虑。

受Diffie-Hellman问题影响的Mbed TLS部署可以升级到6.1.1，禁用有限域DHE密码套件，或者迁移到OpenSSL后端。受CVE-2026-115884影响的LibreSSL部署可以升级GoAhead，使用受信任CA捆绑启用发行者检查，或迁移到更新的LibreSSL或OpenSSL实现。

最终，设备制造商需要用修正后的GoAhead版本重建受影响的固件，才能让许多终端用户应用该修复。 因此，运营IoT、OT、网络基础设施或嵌入式设备的组织应跟踪供应商公告，而不仅仅依赖于上游GoAhead发布。

免责声明： 检测内容可能并不适用于每个CVE。请查看SOC Prime平台以获取当前覆盖范围。如果相关检测尚不可用，请再试一次，因为新的威胁情报和检测内容会不断加入。