远程主机上安装的 golang 版本低于 1.26.7-1。因此，该软件受到 ALAS2-2026-3893 公告中提及的多个漏洞影响。

    在解封中强制执行递归限制，以防止解析嵌套过深的递归结构时出现堆栈耗尽。（CVE-2026-33818）

    当服务器配置为支持未加密的 HTTP/2 时，服务器会从每个新连接读取几个字节，查看其是否包含 HTTP/2 客户端前言。执行此操作时，意外地未应用 ReadHeaderTimeout。（CVE-2026-56853）

    以前，病态的输入可以提早关闭未转义的“/”，从而允许攻击控制的数据注入任意内容，从而可能导致 XSS。（CVE-2026-56858）

    以前，DecodeElement 会重置深度计数器，使其永远不会触发;这可导致堆栈耗尽。（CVE-2026-56859）

    以前，解析包含父目录（“..”）段的相对路径会在每个步骤中执行字符串转换和缓冲区重写，从而导致二次方时间复杂度和高内存分配开销。现在，路径解析在字节缓冲区上运行，对“..”段使用基于索引的回溯，从而消除了二次时间复杂性并显著减少了内存分配。
    (CVE-2026-56860)

    无论握手是否已完成，如 KeyUpdate 的握手消息始终被视为状态前进。因此，恶意客户端可不断发送 KeyUpdate 消息，以强制服务器无限期地继续执行密钥派生操作。（CVE-2026-56862）

    恶意 GOSUMDB 能够提供透明度日志中未包含的任意模块内容。此攻击允许协调的 GOPROXY 和 GOSUMDB 为客户端提供无法通过评估透明度日志检测到的恶意模块内容。为了确定您是否受到影响：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56864）

    恶意 GOPROXY 之前能够伪造最多两个 sumdb 磁贴，允许请求的模块绕过 GOSUMDB 检查并将攻击者控制的模块内容保存到本地 Go 模块缓存。此攻击允许恶意 GOPROXY 提供无法通过评估透明度日志检测到的恶意模块内容。现在可针对其父级正确验证所有磁贴。
    为了确定您是否受到影响：rm -r go.sum go.work.sum vendor/ &; go mod tidy （CVE-2026-56865）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：golang、--advisory ALAS2-2026-3893 (ALAS-2026-3893)

high Nessus 插件 ID 341867

版本 1.1