网络安全公司 FoxIO 披露了 GoAhead Web 服务器处理传输层安全协议 (TLS) 方式中的三个安全漏洞。由于这款由 EmbedThis 开发的轻量级服务器被广泛用于管理网络设备、打印机和工业系统的界面，其影响范围极其广泛；它存在于物联网 (IoT)、运营技术 (OT)、防火墙甚至军事领域的数亿台设备中。
已发现漏洞详情
根据设备中集成的软件库，这些漏洞的严重程度和工作机制各不相同：
- 证书撤销绕过漏洞 (CVE-2026-115881)：CVSS 严重性评分为 9.1。影响使用 OpenSSL 库的 3.4.5 至 6.1.0 版本。问题在于服务器虽然读取了证书撤销列表 (CRL)，但并未要求库对其进行实际验证，这使得被撤销的证书（例如被盗的证书）可以在不被发现的情况下被使用。
- 加密弱化漏洞：影响使用 Mbed TLS 库的版本。该漏洞会导致某些 TLS 1.2 连接的加密强度降低，可能允许黑客对随后记录的会话进行离线解密。
- 证书链长度绕过漏洞 (CVE-2026-115884)：CVSS 严重性评分为 7.4。针对使用 LibreSSL 的版本，允许攻击者在接受来自任何颁发机构证书的服务器上绕过证书链的最大长度限制。
这对用户和企业意味着什么？
真正的危险在于软件开发商与设备制造商之间的“更新鸿沟”。虽然服务器开发商 (EmbedThis) 已经发布了 6.1.1 版本来解决 OpenSSL 和 Mbed TLS 的问题，但这并不意味着受影响的设备会自动变得安全。设备制造商必须将此更新集成到其固件中，然后将更新推送给最终用户。
FoxIO 指出，许多大公司依赖 GoAhead 服务器，其中包括：Lockheed Martin、Boeing、Siemens、Honeywell、GE、Oracle、HP、Canon、Comcast 和 D-Link，但并未明确说明其当前产品是否使用了受影响的脆弱配置。
可用的保护措施
FoxIO 根据设备中使用的库类型建议采取以下技术措施：
- 对于 Mbed TLS 用户：可以禁用有限域 DHE 密码套件，或切换到使用 OpenSSL 库作为后端。
- 对于 LibreSSL 用户：建议使用受信任的 CA 包启用颁发机构验证，或升级到 LibreSSL 4.x 或 OpenSSL。