Résumé
Vulnérabilité dans Golang (CVE-2026-42503). L'exploitation peut entraîner la prise de contrôle totale du système.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
gopls by default communicates via pipe. However, -port and -listen flags are supported as means of debugging.
If -listen is given a value without an explicit host (e.g. :8080), or -port is used, gopls will listen on 0.0.0.0.
As a result, users might inadvertently cause gopls to bind 0.0.0.0.
This can allow a malicious party on the same network to execute code arbitrarily via gopls.
Source: NIST National Vulnerability Database NVD
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-42503 a été découverte dans golang.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « golang CVE-2026-42503 » sur le site de l'éditeur.
CVE-2026-42503 (golang) — CWE-1327 / CVSS v3 8.8
Vecteur d'attaque : réseau adjacent / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
goplsのデバッグ用フラグによる不適切なリッスン割り当て
gopls の -port および -listen フラグ
高いリスク、同一ネットワーク上での任意コード実行の可能性
goplsの設定を見直し、ホストを明示的に指定する
明示的にローカルホスト（例: 127.0.0.1）を指定してリッスンする
goplsのフラグ設定を確認し、不適切な設定を修正する
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-42503 gopls
- Ubuntu UBUNTU-CVE-2026-42503 gopls
Références
- patch security@golang.org
- patch security@golang.org