There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - When http.Transport sends an HTTP/1 CONNECT request with a non-empty Request.Body, it writes the body
    directly to the connection without framing after the request headers. If the server rejects the CONNECT
    request with a non-2xx keep-alive response, Transport returns the connection to the idle pool. Because
    CONNECT requests do not have a request body, the server may interpret the trailing body bytes as a
    subsequent pipelined HTTP/1.1 request on the connection, leaving the pooled connection desynchronized and
    causing the next caller that reuses it to read the response to the injected request. In reverse proxies
    (including httputil.ReverseProxy) that forward CONNECT requests through a shared Transport, this can lead
    to cross-user response poisoning. (CVE-2026-56866)

远程主机上运行的 Golang 版本为低于 1.26.9 的 1.26.x 版，或低于 1.27.2 的 1.27.x 版。因此，如 golang-announce 公告所述，会受到标准库和工具链中多个漏洞的影响，包括：

  - 在 Windows 中，当 Root.Mkdir 或 Root.MkdirAll 的目标是指向空白位置的交汇点时，即使该目标位于根之外，操作也可以在交汇点目标处创建目录。这仅适用于最后一个路径组件是交汇点（路径/到/交汇点，但不包括路径/交汇点/目标）的操作。（CVE-2026-56857）

  - HTTP/2 服务器可以针对相同的数据退还两次连接级别的流控制：一次是在客户端重置流时（为流的任何已发送但未读部分退还数据），另一次是在请求处理程序读取缓冲的数据时。恶意客户端可利用此漏洞，绕过配置的连接层级流控制限制 （MaxReceiveBufferPerConnection）。缓冲数据总量仍受到并发流限制和流级流控制的限制。（CVE-2026-78663）

  - 当 http.传输发送包含非空 Request.Body 的 HTTP/1 CONNECT 请求，它会将正文直接写入连接，而不在请求标头之后进行帧处理。如果服务器拒绝具有非 2xx 保持活动响应的 CONNECT 请求，传输将返回到空闲池的连接。由于 CONNECT 请求没有请求正文，服务器可能会将尾部正文字节解释为连接上的后续管道 HTTP/1.1 请求，从而使池连接不同步并导致重用它的下一个调用方读取对注入请求的响应。在反向代理（包括 httputil.ReverseProxy） 通过共享传输转发 CONNECT 请求，这可导致跨用户响应毒化。（CVE-2026-56866）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 當 http.傳輸會傳送具有非空白 Request.Body 的 HTTP/1 CONNECT 要求，它會將本文直接寫入連線，而不會在要求標頭之後建構。如果伺服器以非 2xx 保持連線回應拒絕 CONNECT 要求，則傳輸會將連線傳回閒置儲存區。因為 CONNECT 要求沒有要求內文，所以伺服器可能會將尾端內文位元組解譯為連線上的後續管線 HTTP/1.1 要求，讓集區連線不同步，並導致下一個重複使用它的呼叫端讀取插入要求的回應。在反向 Proxy （包括 httputil.ReverseProxy） 透過共用傳輸轉送 CONNECT 要求，這可能會導致跨使用者回應中毒。（CVE-2026-56866）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当 http.传输发送包含非空 Request.Body 的 HTTP/1 CONNECT 请求，它会将正文直接写入连接，而不在请求标头之后进行帧处理。如果服务器拒绝具有非 2xx 保持活动响应的 CONNECT 请求，传输将返回到空闲池的连接。由于 CONNECT 请求没有请求正文，服务器可能会将尾部正文字节解释为连接上的后续管道 HTTP/1.1 请求，从而使池连接不同步并导致重用它的下一个调用方读取对注入请求的响应。在反向代理（包括 httputil.ReverseProxy） 通过共享传输转发 CONNECT 请求，这可导致跨用户响应毒化。（CVE-2026-56866）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上執行的 Golang 為 1.26.9 之前的 1.26.x 版，或是 1.27.2 之前的 1.27.x 版。因此，它受到標準程式庫和工具鏈中多個弱點的影響，如 golang-announce 公告中所述，包括：

  - 在 Windows 上，當 Root.Mkdir 或 Root.MkdirAll 的目標是指向空白位置的連接時，即使該目標位於根目錄外部，作業也可以在連接目標建立目錄。這僅適用於最後一個路徑元件是交匯處 （path/to/junction，但不適用於path/junction/target） 的作業。（CVE-2026-56857）

  - HTTP/2 伺服器可以針對相同的資料退還連線層級流量控制兩次：一次是在用戶端重設資料流時 （退還資料流中任何已傳送但未讀取部分的資料），另一次是在要求處理常式讀取緩衝資料時。惡意用戶端可以利用此弱點來繞過已設定的連線層級流量控制限制 （MaxReceiveBufferPerConnection） 。緩衝資料總數仍受到並行資料流程限制和資料流程層級流量控制的限制。（CVE-2026-78663）

  - 當 http.傳輸會傳送具有非空白 Request.Body 的 HTTP/1 CONNECT 要求，它會將本文直接寫入連線，而不會在要求標頭之後建構。如果伺服器以非 2xx 保持連線回應拒絕 CONNECT 要求，則傳輸會將連線傳回閒置儲存區。因為 CONNECT 要求沒有要求內文，所以伺服器可能會將尾端內文位元組解譯為連線上的後續管線 HTTP/1.1 要求，讓集區連線不同步，並導致下一個重複使用它的呼叫端讀取插入要求的回應。在反向 Proxy （包括 httputil.ReverseProxy） 透過共用傳輸轉送 CONNECT 要求，這可能會導致跨使用者回應中毒。（CVE-2026-56866）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4629-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    1.26.9に更新してください(bsc#1255111):

    - CVE-2026-56857:os:Root.Mkdir(All) は Windows 上のルート外のジャンクションをたどることができます(bsc#1284766)。
    - CVE-2026-56866:net/http:CONNECT 拒否後の HTTP/1 クライアント接続の同期解除(bsc#1284767)。
    - CVE-2026-78659:net/http:Trailer ヘッダーによる HTTP/2 サーバーメモリ枯渇(bsc#1284768)。
    - CVE-2026-78660:net/http:HTTP/2 トランスポートは、無効な形式のフレーミング関連ヘッダーを受け入れます(bsc#1284769)。
    - CVE-2026-78667:net/http:解析済み範囲ヘッダーのサイズの制限の欠如(bsc#1284771)。
    - CVE-2026-94439:net/http:2xx CONNECT 応答後の HTTP/1 サーバー接続の同期解除(bsc#1284773)。
    - CVE-2026-94440:net/textproto、mime/multipart:MIME ヘッダーを解析する際のメモリ制限バイパス(bsc#1284774)。
    - CVE-2026-94444:cmd/go:golang.org/fips140 のチェックサムバイパス(bsc#1284775)。
    - CVE-2026-94447:cmd/go:golang.org/toolchain に対するチェックサムデータベースバイパス(bsc#1284776)。
    - CVE-2026-94448:html/template:連続するテンプレート式のコンテキスト追跡をリセットします(bsc#1284777)。
    - CVE-2026-97030:html/template:yield を正規表現の先行キーワードとして認識します(bsc#1284778)。
    - CVE-2026-97031:crypto/tls:無効な形式の ECH 外部拡張参照を拒否します(bsc#1284779)。
    - CVE-2026-97032:net/http:HPACK エンコーダー競合による HTTP/2 サーバークラッシュ(bsc#1284780)。

    変更：

    - go1.26.9(2026 年 10 月 8 日リリース)には、go コマンド、crypto/tls、html/template、net/http、net/textproto、および os パッケージに対するセキュリティ修正に加え、コンパイラ、リンカー、ランタイム、vet、および crypto/mlkem、net/http、および os パッケージに対するバグ修正が含まれています。
     * go#81144 runtime:mutex プロファイリングが、GC 中の非同期のプリエンプションWindowsデッドロックを引き起こす可能性があります
     * go#81225 runtime:netpoll:eventfd は、予期しないものに備える準備ができています
     * lib/fips140 go#81251 :ML-KEM CAST を修正し、v1.26.0 を再シールします
     * go#81295 cmd/compile:内部コンパイラエラー:MoveLoop が小さすぎます
     * go#81318 os、internal/poll:継承されたオーバーラップした stdout パイプの NewFile が兄弟の WriteFile をハングアップさせます(Windows)
     * go#81401 os:最も古い Windows 10 ビルド 10240 の RemoveAll 1.25.x 回帰に移行します
     * go#81436 runtime:mips64le の netpoll における断続的な SIGBUS(アラインされていないアクセス)(Go 1.27)
     * go#81668 cmd/compile:go1.27 が &slice[i] をミスコンパイルします。追加構築されたスライスのフィールド。返されたポインターエイリアスが再使用されたメモリ
     * go#81689 cmd/compile:スライス割り当てでスタックバッキングストアが不適切に再利用されます
     * go#81860 cmd/go:以前の実行で依存関係として精査されたパッケージについて、vet が診断を報告しません
     * go#81889 cmd/link:プラグインmacOS 27 でオープンが失敗:LC_DYLD_CHAINED_FIXUPS seg_count DWARF を組み合わせた後に更新されません

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - http.トランスポートは、空でないRequest.Bodyを含むHTTP/1 CONNECTリクエストを送信し、リクエストヘッダーの後にフレーミングせずに本文を直接接続に書き込みます。サーバーが 2xx キープアライブ応答で CONNECT 要求を拒否した場合、トランスポートは接続をアイドルプールに戻します。CONNECTリクエストにはリクエスト本文がないため、サーバーは末尾の本文バイトを接続の後続のパイプライン化されたHTTP/1.1 リクエストと解釈し、プールされた接続を非同期のままにして、これを再利用する次の呼び出し元が挿入されたリクエストに対する応答を読み取らせる可能性があります。リバースプロキシ(httputil を含む。ReverseProxy) を介して CONNECT リクエストを転送する際に、クロスユーザー応答ポイズニングを引き起こす可能性があります。(CVE-2026-56866)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4625-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    go1.27.2(bsc#1272545)への更新:

    - CVE-2026-56857:os:Root.Mkdir(All) は Windows 上のルート外のジャンクションをたどることができます(bsc#1284766)。
    - CVE-2026-56866:net/http:CONNECT 拒否後の HTTP/1 クライアント接続の同期解除(bsc#1284767)。
    - CVE-2026-78659:net/http:Trailer ヘッダーによる HTTP/2 サーバーメモリ枯渇(bsc#1284768)。
    - CVE-2026-78660:net/http:HTTP/2 トランスポートは、無効な形式のフレーミング関連ヘッダーを受け入れます(bsc#1284769)。
    - CVE-2026-78663:net/http:HTTP/2 サーバーストリームでの二重フロー制御の払い戻し(bsc#1284770)。
    - CVE-2026-78667:net/http:解析済み範囲ヘッダーのサイズの制限の欠如(bsc#1284771)。
    - CVE-2026-78669:net/http:初期ウィンドウの変更の繰り返しによる過剰な CPU 消費(bsc#1284772)。
    - CVE-2026-94439:net/http:2xx CONNECT 応答後の HTTP/1 サーバー接続の同期解除(bsc#1284773)。
    - CVE-2026-94440:net/textproto、mime/multipart:MIME ヘッダーを解析する際のメモリ制限バイパス(bsc#1284774)。
    - CVE-2026-94444:cmd/go:golang.org/fips140 のチェックサムバイパス(bsc#1284775)。
    - CVE-2026-94447:cmd/go:golang.org/toolchain に対するチェックサムデータベースバイパス(bsc#1284776)。
    - CVE-2026-94448:html/template:連続するテンプレート式のコンテキスト追跡をリセットします(bsc#1284777)。
    - CVE-2026-97030:html/template:yield を正規表現の先行キーワードとして認識します(bsc#1284778)。
    - CVE-2026-97031:crypto/tls:無効な形式の ECH 外部拡張参照を拒否します(bsc#1284779)。
    - CVE-2026-97032:net/http:HPACK エンコーダー競合による HTTP/2 サーバークラッシュ(bsc#1284780)。

    変更：

    - go1.27.2(2026 年 10 月 8 日リリース)には、go コマンド、crypto/tls、html/template、net/http、net/textproto、および OS パッケージに対するセキュリティ修正に加え、コンパイラ、リンカー、ランタイム、cover ツール、go fix コマンド、vet、および compress/flate、crypto/mlkem、encoding/json、encoding/json/v2、net/http、 および OS パッケージ。
     * go#81084 encoding/json:Unmarshal が Go でのフロートオーバーフローの宛先に +/-Inf を残します 1.27
     * go#81145 runtime:mutex プロファイリングが、GC 中の非同期のプリエンプションWindowsデッドロックを引き起こす可能性があります
     * go#81226 runtime:netpoll:eventfd は、予期しないものに備える準備ができています
     * go#81229 encoding/json:json。UnsupportedValueError は、浮動小数値の代わりに無効な値を返します
     * go#81233 compress/flate:プリセット辞書を持つライターは、辞書を出力ストリームに出力します
     * lib/fips140 go#81252 :ML-KEM CAST を修正し、v1.26.0 を再シールします
     * go#81296 cmd/compile:内部コンパイラエラー:MoveLoop が小さすぎます
     * go#81306 cmd/compile:go1.27.0 の統合されたエクスポートデータがメソッドの順序を失い、objectpath を破損し、staticcheck をクラッシュします
     * go#81324 プラグイン:複数のプラグインをロードすると、Go の stdlib 型が破損します 1.27
     * go#81353 ランタイム:Go 1.27.0:汎用関数 + ポインタータイプパラメーター + 組み込みインターフェイスによる SIGSEGV クラッシュ
     * go#81362 encoding/json:Marshal は、文字列の種類のマップキーに対して MarshalText を遵守するようになりました
     * go#81374 os、internal/poll:継承されたオーバーラップした stdout パイプの NewFile が兄弟の WriteFile をハングアップさせます(Windows)
     * cmd/fix、x/tools/go/analysis/passes/modernize go#81389 : ErrorsAstype はエラーを書き換えます。エラーを実装しないターゲットインターフェイスとして
     * go#81402 os:最も古い Windows 10 ビルド 10240 の RemoveAll 1.25.x 回帰に移行します
     * go#81411 net/http:同時応答本文の読み取りと閉じると、Go の自動ドレインでデッドロックが発生する可能性があります 1.27
     * go#81437 runtime:mips64le の netpoll における断続的な SIGBUS(アラインされていないアクセス)(Go 1.27)
     * go#81469 runtime:アプリバンドルの外部で実行された iOS/arm64 バイナリが起動時に作業ディレクトリを変更
     * go#81515 net/http:readLoop は、Body.Close が返した後に Response.ContentLength を読み込みます
     * go#81516 net/http:Response.Body.Close は、非 EOF 読み取りエラーの後に先に読み取りエラーを返します
     * go#81522 net/http:応答本文のドレインによる Response.Trailer の競合
     * go#81580 テスト:go test -v が go 1.27以降、t.Log 出力の ESC (0x1b) を倍増させ、一部の端末で ANSI 色を破損
     * go#81666 cmd/compile:tail 呼び出しを使用する組み込みインターフェイスが、競合検出器のスタックの増加を引き起こします
     * go#81667 cmd/compile:go1.27 が &slice[i] をミスコンパイルします。追加構築されたスライスのフィールド。返されたポインターエイリアスが再使用されたメモリ
     * go#81706 cmd/compile:ネスト化されたビットローテーションをインライン化する際の ICE on 386(Int64Lo が下げられていません)
     * go#81816 net/http:Request.TLS が HTTP/2 リクエストに対して適切に入力されていません
     * go#81818 cmd/internal/obj/ppc64:BR における非同期のプリエンプションのバグ(CTR)
     * go#81829 ランタイム:LockOSThread がレジストリ呼び出しをラップする際の windows/amd64 スタック破損(Go 1.27 の新機能)
     * go#81832 cmd/cover:NumStmt が分割ブロック間で重複し、ステートメントカバレッジが拡大します
     * go#81861 cmd/go:以前の実行で依存関係として精査されたパッケージについて、vet が診断を報告しません
     * go#81890 cmd/link:プラグインmacOS 27 でオープンが失敗:LC_DYLD_CHAINED_FIXUPS seg_count DWARF を組み合わせた後に更新されません

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行している Golang のバージョンは、1.26.9 より前の 1.26.x、または 1.27.2 より前の 1.27.x です。したがって、golang-announceアドバイザリに記載されているように、標準ライブラリとツールチェーンの複数の脆弱性の影響を受けます。

  - Windows では、Root.Mkdir または Root.MkdirAll のターゲットが空の場所を指しているジャンクションである場合、ターゲットがルートの外側にある場合でも、その操作によってジャンクション ターゲットにディレクトリが作成される可能性があります。これは、最後のパス コンポーネントがジャンクション (path/to/junction ですが、path/junction/target ではなく) である操作にのみ適用されます。(CVE-2026-56857)

  - HTTP/2 サーバーは、同じデータに対して接続レベルのフロー制御を 2 回払い戻しできます。1 回目はクライアントがストリームをリセットするとき (ストリームの送信済みだが未読部分のデータを返金する)、もう 1 回はリクエスト ハンドラーがバッファされたデータを読み取ったときに返金されます。悪意のあるクライアントがこれを悪用し、構成された接続レベルのフロー制御制限(MaxReceiveBufferPerConnection)をバイパスする可能性があります。バッファされるデータの合計は、同時ストリーム制限とストリームレベルのフロー制御によって制限されます。(CVE-2026-78663)

  - http.トランスポートは、空でないRequest.Bodyを含むHTTP/1 CONNECTリクエストを送信し、リクエストヘッダーの後にフレーミングせずに本文を直接接続に書き込みます。サーバーが 2xx キープアライブ応答で CONNECT 要求を拒否した場合、トランスポートは接続をアイドルプールに戻します。CONNECTリクエストにはリクエスト本文がないため、サーバーは末尾の本文バイトを接続の後続のパイプライン化されたHTTP/1.1 リクエストと解釈し、プールされた接続を非同期のままにして、これを再利用する次の呼び出し元が挿入されたリクエストに対する応答を読み取らせる可能性があります。リバースプロキシ(httputil を含む。ReverseProxy) を介して CONNECT リクエストを転送する際に、クロスユーザー応答ポイズニングを引き起こす可能性があります。(CVE-2026-56866)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4629-1 advisory.

    Update to go 1.26.9 (bsc#1255111):

    - CVE-2026-56857: os: Root.Mkdir(All) can follow junctions out of the root on Windows (bsc#1284766).
    - CVE-2026-56866: net/http: HTTP/1 client connection desynchronization after CONNECT rejection     (bsc#1284767).
    - CVE-2026-78659: net/http: HTTP/2 server memory exhaustion due to Trailer headers (bsc#1284768).
    - CVE-2026-78660: net/http: HTTP/2 transport accepts malformed framing-related headers (bsc#1284769).
    - CVE-2026-78667: net/http: lack of limit on size of parsed Range headers (bsc#1284771).
    - CVE-2026-94439: net/http: HTTP/1 server connection desynchronization after 2xx CONNECT response     (bsc#1284773).
    - CVE-2026-94440: net/textproto, mime/multipart: memory limit bypass when parsing MIME headers     (bsc#1284774).
    - CVE-2026-94444: cmd/go: checksum bypass for golang.org/fips140 (bsc#1284775).
    - CVE-2026-94447: cmd/go: checksum database bypass for golang.org/toolchain (bsc#1284776).
    - CVE-2026-94448: html/template: reset context tracking on consecutive template expressions (bsc#1284777).
    - CVE-2026-97030: html/template: recognize yield as regexp preceder keyword (bsc#1284778).
    - CVE-2026-97031: crypto/tls: reject malformed ECH outer extension references (bsc#1284779).
    - CVE-2026-97032: net/http: HTTP/2 server crash due to HPACK encoder race (bsc#1284780).

    Changes:

    - go1.26.9 (released 2026-10-08) includes security fixes to the go      command, and the crypto/tls, html/template, net/http,      net/textproto, and os packages, as well as bug fixes to the      compiler, the linker, the runtime, vet, and the crypto/mlkem,      net/http, and os packages.
     * go#81144 runtime: mutex profiling can deadlock Windows asynchronous preemption during GC
     * go#81225 runtime: netpoll: eventfd ready for something unexpected
     * go#81251 lib/fips140: fix ML-KEM CAST and re-seal v1.26.0
     * go#81295 cmd/compile: internal compiler error: MoveLoop too small
     * go#81318 os,internal/poll: NewFile on an inherited overlapped stdout pipe hangs a sibling's WriteFile     (Windows)
     * go#81401 os: go 1.25.x regression on RemoveAll for oldest Windows 10 build 10240
     * go#81436 runtime: intermittent SIGBUS (unaligned access) in netpoll on mips64le (Go 1.27)
     * go#81668 cmd/compile: go1.27 miscompiles &slice[i].Field on an append-built slice; returned pointer     aliases reused memory
     * go#81689 cmd/compile: slice allocation reuses stack backing store incorrectly
     * go#81860 cmd/go: vet reports no diagnostics for a package that an earlier run vetted as a dependency
     * go#81889 cmd/link: plugin.Open fails on macOS 27: LC_DYLD_CHAINED_FIXUPS seg_count not updated after     combining DWARF

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - When http.Transport sends an HTTP/1 CONNECT request with a non-empty Request.Body, it writes the body     directly to the connection without framing after the request headers. If the server rejects the CONNECT     request with a non-2xx keep-alive response, Transport returns the connection to the idle pool. Because     CONNECT requests do not have a request body, the server may interpret the trailing body bytes as a     subsequent pipelined HTTP/1.1 request on the connection, leaving the pooled connection desynchronized and     causing the next caller that reuses it to read the response to the injected request. In reverse proxies     (including httputil.ReverseProxy) that forward CONNECT requests through a shared Transport, this can lead     to cross-user response poisoning. (CVE-2026-56866)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4625-1 advisory.

    Update to go1.27.2 (bsc#1272545):

    - CVE-2026-56857: os: Root.Mkdir(All) can follow junctions out of the root on Windows (bsc#1284766).
    - CVE-2026-56866: net/http: HTTP/1 client connection desynchronization after CONNECT rejection     (bsc#1284767).
    - CVE-2026-78659: net/http: HTTP/2 server memory exhaustion due to Trailer headers (bsc#1284768).
    - CVE-2026-78660: net/http: HTTP/2 transport accepts malformed framing-related headers (bsc#1284769).
    - CVE-2026-78663: net/http: double flow control refund on HTTP/2 server streams (bsc#1284770).
    - CVE-2026-78667: net/http: lack of limit on size of parsed Range headers (bsc#1284771).
    - CVE-2026-78669: net/http: excessive CPU consumption from repeated initial window changes (bsc#1284772).
    - CVE-2026-94439: net/http: HTTP/1 server connection desynchronization after 2xx CONNECT response     (bsc#1284773).
    - CVE-2026-94440: net/textproto, mime/multipart: memory limit bypass when parsing MIME headers     (bsc#1284774).
    - CVE-2026-94444: cmd/go: checksum bypass for golang.org/fips140 (bsc#1284775).
    - CVE-2026-94447: cmd/go: checksum database bypass for golang.org/toolchain (bsc#1284776).
    - CVE-2026-94448: html/template: reset context tracking on consecutive template expressions (bsc#1284777).
    - CVE-2026-97030: html/template: recognize yield as regexp preceder keyword (bsc#1284778).
    - CVE-2026-97031: crypto/tls: reject malformed ECH outer extension references (bsc#1284779).
    - CVE-2026-97032: net/http: HTTP/2 server crash due to HPACK encoder race (bsc#1284780).

    Changes:

    - go1.27.2 (released 2026-10-08) includes security fixes to the go      command, and the crypto/tls, html/template, net/http,      net/textproto, and os packages, as well as bug fixes to the      compiler, the linker, the runtime, the cover tool, the go fix      command, vet, and the compress/flate, crypto/mlkem,      encoding/json, encoding/json/v2, net/http, and os packages.
     * go#81084 encoding/json: Unmarshal leaves +/-Inf in the destination on float overflow in Go 1.27
     * go#81145 runtime: mutex profiling can deadlock Windows asynchronous preemption during GC
     * go#81226 runtime: netpoll: eventfd ready for something unexpected
     * go#81229 encoding/json: json.UnsupportedValueError returns an Invalid Value instead of a Float value
     * go#81233 compress/flate: Writer with a preset dictionary emits the dictionary into the output stream
     * go#81252 lib/fips140: fix ML-KEM CAST and re-seal v1.26.0
     * go#81296 cmd/compile: internal compiler error: MoveLoop too small
     * go#81306 cmd/compile: go1.27.0 unified export data loses method order, breaking objectpath, crashing     staticcheck
     * go#81324 plugin: loading multiple plugins corrupts stdlib types in Go 1.27
     * go#81353 runtime: Go 1.27.0: SIGSEGV crash with generic function + pointer type parameter + embedded     interface
     * go#81362 encoding/json: Marshal now honors MarshalText for string-kind map keys
     * go#81374 os,internal/poll: NewFile on an inherited overlapped stdout pipe hangs a sibling's WriteFile     (Windows)
     * go#81389 cmd/fix, x/tools/go/analysis/passes/modernize: errorsastype rewrites errors.As target     interface that does not implement error
     * go#81402 os: go 1.25.x regression on RemoveAll for oldest Windows 10 build 10240
     * go#81411 net/http: concurrent response body Read and Close can deadlock with automatic draining in Go     1.27
     * go#81437 runtime: intermittent SIGBUS (unaligned access) in netpoll on mips64le (Go 1.27)
     * go#81469 runtime: ios/arm64 binaries executed outside an app bundle change working directory on startup
     * go#81515 net/http: readLoop reads Response.ContentLength after Body.Close returns
     * go#81516 net/http: Response.Body.Close returns the earlier Read error after a non-EOF Read failure
     * go#81522 net/http: Response.Trailer race due to response body draining
     * go#81580 testing: go test -v doubles ESC (0x1b) in t.Log output since Go 1.27, corrupting ANSI colors     in some terminals
     * go#81666 cmd/compile: Embedded interfaces using tail calls cause race detector stack growth
     * go#81667 cmd/compile: go1.27 miscompiles &slice[i].Field on an append-built slice; returned pointer     aliases reused memory
     * go#81706 cmd/compile: ICE on 386 when inlining nested bit rotations (Int64Lo not lowered)
     * go#81816 net/http: Request.TLS is not properly populated for HTTP/2 requests
     * go#81818 cmd/internal/obj/ppc64: async preemption bug in BR (CTR)
     * go#81829 runtime: windows/amd64 stack corruption when LockOSThread wraps registry calls (new in Go     1.27)
     * go#81832 cmd/cover: NumStmt duplicated across split blocks, inflating statement coverage
     * go#81861 cmd/go: vet reports no diagnostics for a package that an earlier run vetted as a dependency
     * go#81890 cmd/link: plugin.Open fails on macOS 27: LC_DYLD_CHAINED_FIXUPS seg_count not updated after     combining DWARF

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Golang running on the remote host is 1.26.x prior to 1.26.9, or 1.27.x prior to 1.27.2. It is, therefore, affected by multiple vulnerabilities in the standard library and the toolchain, as referenced in the golang-announce advisory, including:

  - On Windows, when the target of Root.Mkdir or Root.MkdirAll is a junction pointing to an empty location, the     operation can create a directory at the junction target even when that target is located outside the root. This     only applies to operations where the last path component is a junction (path/to/junction, but not     path/junction/target). (CVE-2026-56857)

  - The HTTP/2 server can refund connection-level flow control twice for the same data: Once when a client resets a     stream (refunding data for any sent-but-unread portion of the stream), and again when a request handler reads the     buffered data. A malicious client can exploit this to bypass the configured connection-level flow control limit     (MaxReceiveBufferPerConnection). Total buffered data is still limited by the concurrent stream limit and     stream-level flow control. (CVE-2026-78663)

  - When http.Transport sends an HTTP/1 CONNECT request with a non-empty Request.Body, it writes the body directly to     the connection without framing after the request headers. If the server rejects the CONNECT request with a non-2xx     keep-alive response, Transport returns the connection to the idle pool. Because CONNECT requests do not have a     request body, the server may interpret the trailing body bytes as a subsequent pipelined HTTP/1.1 request on the     connection, leaving the pooled connection desynchronized and causing the next caller that reuses it to read the     response to the injected request. In reverse proxies (including httputil.ReverseProxy) that forward CONNECT     requests through a shared Transport, this can lead to cross-user response poisoning. (CVE-2026-56866)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
473921	Golang: stdlib: security update to 1.26.9stdlib: security update to 1.27.2	Tenable Cloud Security	Golang	2026/10/9	2026/10/9	high
474130	Echo: stdlib: security update to 1.26.9	Tenable Cloud Security	Echo Local Security Checks	2026/10/10	2026/10/13	high
473921	Golang: stdlib: security update to 1.26.9stdlib: security update to 1.27.2	Tenable Self-Hosted Container Security	Golang	2026/10/9	2026/10/9	high
474130	Echo: stdlib: security update to 1.26.9	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/10	2026/10/13	high
366456	Golang 1.26.x < 1.26.9 / 1.27.x < 1.27.2 多个漏洞	Nessus	Misc.	2026/10/16	2026/10/16	critical
364309	Linux Distros 未修補弱點：CVE-2026-56866	Nessus	Misc.	2026/10/9	2026/10/17	high
364309	Linux Distros 未修补的漏洞：CVE-2026-56866	Nessus	Misc.	2026/10/9	2026/10/17	high
366456	Golang 1.26.x < 1.26.9 / 1.27.x < 1.27.2 多個弱點	Nessus	Misc.	2026/10/16	2026/10/16	critical
365330	SUSE SLED15 / SLES15 セキュリティ更新 : go1.26 (SUSE-SU-2026:4629-1)	Nessus	SuSE Local Security Checks	2026/10/13	2026/10/16	critical
364309	Linux Distros のパッチ未適用の脆弱性: CVE-2026-56866	Nessus	Misc.	2026/10/9	2026/10/17	high
365320	SUSE SLED15 / SLES15 セキュリティ更新:go1.27(SUSE-SU-2026:4625-1)	Nessus	SuSE Local Security Checks	2026/10/13	2026/10/16	critical
366456	Golang 1.26.x < 1.26.9 / 1.27.x < 1.27.2 の複数の脆弱性	Nessus	Misc.	2026/10/16	2026/10/16	critical
365330	SUSE SLED15 / SLES15 Security Update : go1.26 (SUSE-SU-2026:4629-1)	Nessus	SuSE Local Security Checks	2026/10/13	2026/10/16	critical
364309	Linux Distros Unpatched Vulnerability : CVE-2026-56866	Nessus	Misc.	2026/10/9	2026/10/17	high
365320	SUSE SLED15 / SLES15 Security Update : go1.27 (SUSE-SU-2026:4625-1)	Nessus	SuSE Local Security Checks	2026/10/13	2026/10/16	critical
366456	Golang 1.26.x < 1.26.9 / 1.27.x < 1.27.2 Multiple Vulnerabilities	Nessus	Misc.	2026/10/16	2026/10/16	critical

偵測

搜尋 Plugin

high

high

high

high

critical

high

high

critical

critical

high

critical

critical

critical

high

critical

critical