Pesquisadores encontraram falhas no GoAhead, um servidor web pequeno que fabricantes instalam dentro do firmware de roteadores, impressoras, gateways e controladores industriais para rodar páginas de administração. Segundo a fabricante, EmbedThis, ele está em centenas de milhões de aparelhos. A descoberta principal foi feita por Sébastien Féry, da FoxIO, e foi detalhada em um relatório publicado ontem, dia 26 de outubro.

O problema mais grave é este: em algumas configurações, o servidor carrega a lista de certificados digitais revogados, mas nunca ativa a verificação dessa lista. Na prática, é como um porteiro que recebe a lista de pessoas proibidas de entrar, mas nunca confere o nome de ninguém. Um certificado revogado, por exemplo de um aparelho roubado ou desativado, ainda consegue passar pelo login e receber o acesso que aquela identidade tem. A falha, identificada como CVE-2026-115881 e classificada pela fabricante com nota 9.1, afeta builds que usam a biblioteca OpenSSL com autenticação mútua de TLS e uma lista de revogação configurada. Uma instalação padrão não é afetada, porque essa configuração precisa ser ativada de propósito.

Há mais duas falhas ligadas a outras bibliotecas de TLS. Uma, na versão legacy da LibreSSL (CVE-2026-115884, nota 7.4), aceita cadeias de certificados mais longas que o limite de 10 certificados do GoAhead. Outra, na biblioteca Mbed TLS, envia um valor de Diffie-Hellman com 1 byte no lugar de 2048 bits, o que pode permitir que quem gravou o tráfego descubra a chave e leia a sessão; ela recebe nota 5.9 e não tem CVE atribuído. Clientes que checam o tamanho mínimo dessa chave recusam a conexão, e sessões TLS 1.3 e ECDHE não são afetadas. Além disso, a versão 6.1.1, lançada em 2 de agosto para fabricantes e publicada em 12 de outubro, corrige 11 avisos de segurança, três deles críticos, incluindo um bypass de login que afeta senhas guardadas no formato Blowfish.

Como o tipo de compilação é definido pelo fabricante do aparelho, o dono geralmente não consegue saber se está vulnerável. A atualização chega apenas quando o fabricante gera uma nova versão do firmware. Até 27 de outubro, nenhuma fonte relatou uso dessas falhas em ataques, mas isso não garante que não houve. Quem usa equipamentos com GoAhead deve seguir as instruções oficiais do fabricante, instalar a atualização quando ela existir e, após atualizar, encerrar sessões ativas, reiniciar o servidor e trocar as senhas armazenadas em Blowfish.