El equipo del lenguaje de programación Go ha lanzado versiones de emergencia, Go 1.25.6 y Go 1.24.12, para solucionar seis fallos de seguridad de alto impacto. Estas actualizaciones corrigen vectores de denegación de servicio (DoS), riesgos de ejecución de código arbitrario y problemas en el manejo de TLS que podrían exponer a los desarrolladores a ataques remotos.

El equipo del lenguaje de programación Go ha lanzado versiones de emergencia, Go 1.25.6 y 1.24.12, para solucionar seis fallos de seguridad de alto impacto.

Estas actualizaciones corrigen vectores de denegación de servicio (DoS), riesgos de ejecución arbitraria de código y problemas en el manejo de TLS que podrían exponer a los desarrolladores a ataques remotos.

Aunque no se presentan como la versión 1.26, los parches exigen actualizaciones inmediatas para proyectos que dependen de la biblioteca estándar de Go, especialmente en servidores web, herramientas criptográficas y sistemas de compilación.

Anunciadas a través de canales oficiales, las versiones siguen la estricta política de seguridad de Go, reconociendo a investigadores externos por sus reportes.

Los binarios están disponibles en go.dev/dl, con notas completas en go.dev/doc/devel/release#go1.25.6. Los atacantes podrían explotar estas vulnerabilidades en entornos sin parchear, desde analizadores ZIP hasta handshakes TLS.

Vulnerabilidades clave y rutas de explotación

Entre las correcciones, net/http’s Request.ParseForm destaca por agotamiento de memoria. Formularios maliciosos codificados en URL con pares clave-valor excesivos provocan asignaciones desproporcionadas, paralizando servidores bajo carga. De manera similar, archive/zip’s indexación superlineal de nombres de archivo invita a DoS mediante archivos ZIP manipulados.

Más graves son los fallos en cmd/go que permiten ejecución de código. CgoPkgConfig eludió la sanitización de flags, ejecutando pkg-config con entradas inseguras. El manejo de VCS en la cadena de herramientas (Git/Mercurial) permitía que versiones o dominios maliciosos de módulos ejecutaran código o sobrescribieran archivos, activable mediante rutas personalizadas de go get, aunque no con @latest.

Los problemas de TLS agravan los riesgos: Config.Clone filtró claves de tickets de sesión autogeneradas, permitiendo reanudaciones no autorizadas entre configuraciones.

Las comprobaciones de sesión ignoraron la expiración completa de la cadena de certificados, y los mensajes de handshake procesados en niveles de cifrado incorrectos arriesgaban fugas de información por paquetes inyectados.

ID de CVE	Componente	Resumen de la descripción	Enlace al issue de Go	Reportero
CVE-2025-61728	archive/zip	Indexación superlineal de nombres de archivo causa DoS en ZIPs maliciosos	go.dev/issue/77102	Jakub Ciolek
CVE-2025-61726	net/http	Agotamiento de memoria por pares clave-valor excesivos en formularios	go.dev/issue/77101	jub0bs
CVE-2025-68121	crypto/tls	Config.Clone filtra claves de sesión; ignora expiración completa de la cadena de certificados	go.dev/issue/77113	Coia Prant (rbqvq)
CVE-2025-61731	cmd/go	CgoPkgConfig elude sanitización de flags, llevando a ejecución arbitraria de código	go.dev/issue/77100	RyotaK (GMO Flatt Security)
CVE-2025-68119	cmd/go	Interpretación errónea en la cadena de herramientas VCS permite ejecución de código/sobrescritura de archivos	go.dev/issue/77099	splitline (DEVCORE)
CVE-2025-61730	crypto/tls	Mensajes de handshake procesados en nivel de cifrado incorrecto (fuga de información)	go.dev/issue/76443	Coia Prant (rbqvq)

Consejos de actualización y mitigación

Los desarrolladores deben actualizar a 1.25.6 o 1.24.12 de inmediato, recompilando binarios mediante git checkout go1.25.6. Escanea las dependencias en busca de módulos vulnerables.

No se han publicado puntuaciones CVSS aún, pero los potenciales de DoS y RCE se consideran altos. El parcheo proactivo de Go subraya la importancia de la higiene en la cadena de suministro en el panorama de amenazas de 2026.

Fuentes:
https://cybersecuritynews.com/go-1-25-6-and-1-24-12-vulnerabilities/