Medida de segurança pode interromper conexões de aplicações e serviços que utilizam certificados associados às chaves bloqueadas. Motivo da decisão ainda não foi divulgado
O Go, também conhecido como Golang, é uma linguagem de programação de código aberto desenvolvida pelo Google, amplamente utilizada na criação de sistemas corporativos, aplicações em nuvem, servidores, APIs e serviços digitais. Sua utilização em infraestruturas tecnológicas torna especialmente relevantes as atualizações que afetam os mecanismos de segurança das aplicações desenvolvidas nessa linguagem.
Em 20 de outubro de 2026, a equipe responsável pelo Go lançou uma atualização emergencial que determina o bloqueio de oito chaves públicas de autoridades certificadoras intermediárias, responsáveis por integrar as cadeias de confiança utilizadas na validação de certificados digitais.
Na prática, a medida pode fazer com que aplicações desenvolvidas em Go deixem de estabelecer conexões seguras com determinados sites, sistemas e serviços, mesmo quando os certificados apresentados ainda estejam dentro do prazo de validade.
O bloqueio foi implementado nas versões Go 1.27.3 e Go 1.26.10 em resposta a preocupações específicas de segurança envolvendo a operação de uma autoridade certificadora que não foi oficialmente identificada.
A informação foi divulgada pelo portal especializado The Hacker News, em reportagem publicada nesta terça-feira, 20 de outubro, e consta do comunicado oficial da equipe de desenvolvimento do Go.
O que motivou a decisão ainda não foi esclarecido publicamente. Também não há confirmação de que as chaves privadas tenham sido comprometidas ou utilizadas em ataques.
O que aconteceu com os certificados digitais?
Para entender a importância da atualização, é necessário compreender como funciona a cadeia de confiança dos certificados digitais.
Quando um usuário ou sistema acessa um serviço protegido por HTTPS, por exemplo, ocorre uma verificação para confirmar se o certificado apresentado foi emitido por uma autoridade certificadora reconhecida.
Essa estrutura normalmente envolve uma autoridade certificadora raiz, uma ou mais autoridades intermediárias e o certificado do serviço.
As autoridades intermediárias funcionam como elos dessa cadeia. Elas recebem autorização de uma autoridade superior para emitir certificados e são fundamentais para estabelecer a confiança nas comunicações.
A mudança realizada pelo Go impede que seu verificador aceite cadeias contendo qualquer uma das oito chaves públicas bloqueadas.
Isso significa que um certificado anteriormente aceito poderá passar a ser rejeitado após a atualização da aplicação, caso dependa dessas chaves.
O bloqueio também considera a chave pública e não apenas um certificado específico. Portanto, certificados emitidos por diferentes caminhos de certificação, mas que utilizem uma das mesmas chaves bloqueadas, também poderão ser afetados.
eMudhra pode estar relacionada ao bloqueio
A investigação publicada pelo The Hacker News aponta uma possível relação com a eMudhra, empresa indiana que atua no mercado internacional de certificação digital sob a marca emSign.
Segundo a reportagem, um participante da discussão técnica do Go identificou correspondências entre os hashes das oito chaves bloqueadas e certificados intermediários da eMudhra.
Seis dessas chaves estariam associadas a autoridades intermediárias utilizadas na emissão de certificados TLS, que protegem comunicações entre sistemas e sites. As outras duas estariam relacionadas a autoridades de certificação para assinatura de código, tecnologia usada para comprovar a origem e a integridade de softwares.
A identificação, entretanto, ainda não foi oficialmente confirmada pela equipe do Go.
Outro elemento chama a atenção: em 17 de outubro, a Mozilla incluiu seis certificados intermediários emitidos sob a autoridade emSign Root TLS CA – G3 em sua lista de bloqueio, conhecida como OneCRL e utilizada pelo navegador Firefox.
As duas decisões ocorreram com poucos dias de diferença e envolvem certificados aparentemente relacionados. Contudo, não foi divulgada uma explicação oficial que estabeleça a causa dessas medidas ou confirme que ambas tenham sido motivadas pelo mesmo incidente.
A eMudhra possui atuação internacional e oferece serviços de certificação, assinatura eletrônica e infraestrutura de confiança digital. A empresa também mantém um repositório público com informações sobre suas autoridades certificadoras e políticas de emissão.
Por que a atualização foi classificada como emergencial?
A equipe do Go utilizou seu procedimento de segurança reservado a situações de maior gravidade.
Na política oficial de segurança do projeto, a classificação URGENT contempla situações que possam comprometer a integridade do ecossistema ou envolver vulnerabilidades exploradas ativamente com consequências graves.
O comunicado oficial recomenda a atualização imediata das versões afetadas, mas não detalha quais problemas foram identificados na operação da autoridade certificadora.
Até o momento, não há confirmação pública de comprometimento de chaves privadas, emissão fraudulenta de certificados ou exploração maliciosa associada ao caso.
A ausência dessas informações impede determinar se o bloqueio resulta de uma falha operacional, de problemas de conformidade ou de uma ameaça concreta à segurança das cadeias de certificação.
Quais empresas e serviços podem ser afetados no Brasil?
Embora a decisão tenha origem em um projeto internacional de software, as consequências podem alcançar aplicações utilizadas por organizações brasileiras.
O Go está presente em diferentes tipos de sistemas, especialmente em ambientes de nuvem, microsserviços e infraestruturas de comunicação entre aplicações.
Entre os serviços potencialmente afetados estão plataformas financeiras, sistemas de pagamentos, integrações empresariais, APIs, aplicações corporativas e serviços de autenticação que utilizem a verificação de certificados implementada pelo Go.
Entretanto, a utilização da linguagem Go, isoladamente, não significa que uma empresa será afetada.
Para que ocorra uma falha relacionada a esse bloqueio, a aplicação precisa utilizar o mecanismo de verificação de certificados abrangido pela atualização e estabelecer uma conexão cuja cadeia contenha uma das chaves rejeitadas.
Também é importante distinguir essa medida de um problema generalizado no mercado de certificação digital. Não há evidências de que todos os certificados emitidos pela eMudhra estejam envolvidos.
A dimensão do impacto no Brasil permanece desconhecida, pois não foi identificado um levantamento público que relacione as oito chaves bloqueadas à quantidade de certificados ou domínios brasileiros que dependem delas.
O que as empresas precisam fazer?
A recomendação oficial é atualizar imediatamente o Go para as versões 1.27.3 ou 1.26.10, conforme a linha utilizada.
Entretanto, as equipes de tecnologia também precisam avaliar os impactos da atualização sobre as aplicações existentes.
O procedimento envolve identificar sistemas desenvolvidos em Go, verificar as cadeias dos certificados utilizados em suas conexões e testar a comunicação com serviços internos e externos.
Uma característica importante dessa correção é que ela foi incorporada ao próprio código do verificador de certificados.
Portanto, atualizar apenas a instalação do Go em um servidor não garante que aplicações previamente compiladas passem a utilizar o novo mecanismo de segurança.
Em geral, os programas precisam ser recompilados com a versão corrigida e novamente disponibilizados nos ambientes de produção.
A alteração também foi aplicada aos caminhos de verificação utilizados pelo Go nos sistemas operacionais Windows e macOS, de acordo com o código publicado no repositório oficial https://github.com/golang/go/commit/7f86f957633ee31a1c17a1eb8452ca7a3d9bc141
Caso uma aplicação dependa de um certificado associado às chaves bloqueadas e não disponha de outra cadeia válida, será necessário substituir o certificado por outro emitido sob uma autoridade intermediária confiável e não afetada pela restrição.
A atualização não oferece uma configuração oficial para simplesmente desativar o bloqueio.
O papel das autoridades certificadoras na confiança digital
O episódio evidencia como decisões relacionadas a autoridades certificadoras podem repercutir em diferentes sistemas, empresas e aplicações.
A confiança em certificados digitais não depende exclusivamente da validade de cada certificado. Ela também está associada à segurança operacional das autoridades emissoras, à proteção de suas chaves criptográficas, ao cumprimento das políticas de certificação e aos mecanismos de fiscalização e resposta a incidentes.
Quando uma chave intermediária deixa de ser considerada confiável, todos os certificados cuja validação dependa necessariamente dela podem enfrentar restrições nos sistemas que adotarem o bloqueio.
No caso do Go, essa decisão foi incorporada diretamente ao mecanismo de verificação da linguagem, afetando aplicações reconstruídas com as versões corrigidas.
O episódio também demonstra que diferentes plataformas podem adotar medidas de segurança em momentos distintos. A Mozilla bloqueou seis certificados intermediários, enquanto o Go passou a rejeitar cadeias associadas a oito chaves públicas.
Não está estabelecido, pelas informações divulgadas, se outros fornecedores de navegadores e sistemas operacionais adotaram medidas equivalentes.
Causas permanecem desconhecidas
- As causas exatas permanecem desconhecidas publicamente.
- O projeto Go não revelou os detalhes técnicos da falha ou incidente.
- A identidade da CA não foi inicialmente divulgada oficialmente pelo Go.
- Pesquisadores ligaram os certificados à eMudhra.
- Houve registros sugerindo possível comprometimento da CA, mas sem confirmação pública detalhada da empresa ou do Go sobre o que realmente aconteceu.
O ponto mais importante é que, até o momento das publicações encontradas, existem fortes evidências ligando o caso à eMudhra, mas não há uma explicação oficial pública que permita afirmar com certeza qual foi o incidente de segurança específico.
Referências
- The Hacker News: Go Issues Emergency Update Blocking Eight CA Keys Over Undisclosed Security Concerns, reportagem de 20 de outubro de 2026.
- Go Security Announcement: versões 1.27.3 e 1.26.10.
- Repositório oficial do Go: alteração no verificador de certificados.
- Repositório público de certificados e políticas da emSign/eMudhra.
Nota editorial: A relação das chaves bloqueadas com a eMudhra permanece baseada na investigação técnica relatada pelo The Hacker News, e não em confirmação oficial do Go. Ainda não foi possível estabelecer o alcance da medida sobre certificados ou organizações brasileiras.
Acesse aqui e saiba tudo sobre TLS, o protocolo de segurança que garante o sigilo das informações e identifica empresas, dispositivos e objetos no mundo eletrônico.
Criptografia Forte é o Padrão que Mantém Bilhões de Pessoas Seguras Todos os Dias! Leia sobre Criptografia no canal que fala a sua língua! Acesse agora mesmo!
