遠端主機上安裝的 golang 版本早於 1.26.7-1。因此，它會受到 ALAS2-2026-3893 公告中所提及的多個弱點影響。

    在 Unmarshal 中強制執行遞迴限制，以防止在剖析深巢遞迴結構時堆疊耗盡。（CVE-2026-33818）

    當伺服器設定為支援未加密的 HTTP/2 時，它會從每個新連線讀取幾個位元組，以查看它們是否包含 HTTP/2 用戶端前置詞。執行此動作時，意外地未套用 ReadHeaderTimeout。（CVE-2026-56853）

    以前，病態輸入可能會提前關閉未逸出的「/」，從而允許攻擊控制的資料注入任意內容，從而可能導致 XSS。（CVE-2026-56858）

    以前，DecodeElement 會重設深度計數器，使其永遠不會引發;這可能會導致堆疊耗盡。（CVE-2026-56859）

    以前，解析包含父目錄 （'..'） 段的相對路徑會在每個步驟中執行字串轉換和緩衝區重寫，導致二次時間複雜度和記憶體配置開銷高。現在，路徑解析在位元組緩衝區上運行，使用基於索引的回溯來對「..」段進行操作，從而消除了二次時間複雜度並顯著減少了記憶體分配。
    (CVE-2026-56860)

    交握訊息 （例如 KeyUpdate） 一律會被視為狀態前進，不論交握是否已完成。因此，惡意用戶端可以不斷傳送 KeyUpdate 訊息，以強制伺服器無限期地繼續執行金鑰衍生作業。（CVE-2026-56862）

    惡意 GOSUMDB 能夠提供透明度記錄中未包含的任意模組內容。此攻擊允許協調的 GOPROXY 和 GOSUMDB 向用戶端提供無法透過評估透明度日誌來偵測到的惡意模組內容。為了確定您是否受到影響：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56864）

    惡意 GOPROXY 先前能夠偽造最多兩個 sumdb 圖塊，允許請求的模組繞過 GOSUMDB 檢查並將攻擊者控制的模組內容保存到本機 Go 模組快取中。此攻擊允許惡意 GOPROXY 提供無法透過評估透明度日誌來偵測到的惡意模組內容。所有圖塊現在都會針對其父項正確驗證。
    為了確定您是否受到影響：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56865）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2：golang、--advisory ALAS2-2026-3893 (ALAS-2026-3893)

high Nessus Plugin ID 341867

版本 1.1