CVE-2026-27143: Go cmd/compile com verificações de limites ausentes em variáveis de indução levando a corrupção de memória

Visão geral

A CVE-2026-27143 é um problema de segurança de memória no cmd/compile, componente do compilador do toolchain do Go. Segundo o registro, a aritmética envolvendo variáveis de indução dentro de laços não era verificada corretamente quanto a subestouro ou estouro. Assim, o compilador podia aceitar código que realiza indexação inválida em tempo de execução. O projeto Go publicou um aviso do fornecedor, GO-2026-4868, e uma correção rastreada em go.dev/cl/763765.

Impacto

O registro descreve a consequência como possível corrupção de memória em programas compilados com o compilador afetado. A avaliação da NVD presente no registro é CVSS 3.1 9.8 (Crítica), com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário, além de alto impacto em confidencialidade, integridade e disponibilidade. Os dados SSVC indicam impacto técnico total e automatizável.

Produtos e versões afetados

O registro lista duas entradas afetadas para o toolchain do Go:

• Toolchain Go, cmd/compile: versões anteriores a 1.25.9, e da 1.26.0 até antes de 1.26.2.
• Golang Go: versões anteriores a 1.25.9, e da 1.26.0 até antes de 1.26.2.

O registro não lista versões afetadas fora dessas faixas. Consulte o aviso do fornecedor para a lista oficial.

Status de exploração

O catálogo KEV da CISA não inclui esta CVE, portanto não há exploração confirmada no campo nas fontes consultadas. O campo de exploração SSVC está como none, e a probabilidade EPSS no registro é 0,00536 (percentil 0,44397). Esses dados refletem o que estava disponível na análise e não confirmam nem descartam exploração.

Correção e mitigação

• Atualize o toolchain do Go para 1.25.9 ou posterior na linha 1.25, pois a faixa afetada termina antes de 1.25.9.
• Atualize para 1.26.2 ou posterior na linha 1.26, pois a faixa afetada termina antes de 1.26.2.
• Recompile e reimplante binários gerados com toolchain afetado, já que o defeito está no compilador e afeta a saída produzida.
• Consulte o anúncio de versão na lista golang-announce para detalhes da liberação.

Orientações de detecção

• Inventarie ambientes de build e runners de CI para identificar quais versões do toolchain do Go estão instaladas, usando a saída de versão do comando go.
• Acompanhe quais artefatos foram gerados com versões nas faixas afetadas, para que possam ser recompilados após a correção.
• Monitore falhas inesperadas ou erros de memória em serviços compilados com toolchains afetados, lembrando que esses sintomas não são específicos deste problema.

Limitações das informações disponíveis

O registro não inclui classificação CWE, portanto o tipo de fraqueza é desconhecido. Não descreve um padrão específico de acionamento, plataformas afetadas nem atividade pública de prova de conceito, e esta análise não acrescenta esses detalhes. Se uma aplicação específica é explorável depende do código e da configuração de build, informações não presentes no registro.

Perguntas frequentes

O que é a CVE-2026-27143?

É um problema de segurança de memória no compilador do Go (cmd/compile), em que a aritmética sobre variáveis de indução de laços não era verificada quanto a estouro ou subestouro, podendo permitir indexação inválida em tempo de execução.

Quais versões do Go são afetadas?

Segundo o registro, são afetadas as versões anteriores a 1.25.9 e as versões da 1.26.0 até antes de 1.26.2.

Esta vulnerabilidade está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE, e não há exploração confirmada nas fontes consultadas.

O que administradores devem fazer?

Atualizar o toolchain do Go para 1.25.9 ou posterior na linha 1.25, ou para 1.26.2 ou posterior na linha 1.26, e depois recompilar os binários afetados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.