Eksperci z FoxIO zidentyfikowali trzy istotne luki w obsłudze protokołu TLS przez lekki serwer WWW GoAhead. Oprogramowanie to jest powszechnie stosowane w interfejsach zarządzania sprzętem sieciowym, drukarkami oraz systemami przemysłowymi, co oznacza, że problem dotyczy setek milionów urządzeń IoT, OT i wojskowych.
Najpoważniejsza podatność (CVE-2026-115881) dotyczy wersji 3.4.5–6.1.0 korzystających z OpenSSL w trybie mTLS. Błąd sprawia, że serwer ignoruje listy unieważnionych certyfikatów (CRL), co pozwala na autoryzację skompromitowanych urządzeń. Kolejna luka w wersjach z biblioteką Mbed TLS umożliwia deszyfrację ruchu TLS 1.2 w trybie offline, natomiast błąd w implementacji LibreSSL pozwala na obejście limitu długości łańcucha certyfikatów.
Producent GoAhead wydał wersję 6.1.1, która naprawia problemy z OpenSSL i Mbed TLS. W przypadku LibreSSL zaleca się włączenie weryfikacji wystawcy z zaufanym pakietem CA lub przejście na nowsze wersje biblioteki. Należy jednak pamiętać, że dostępność poprawki u producenta oprogramowania źródłowego nie oznacza, że producenci urządzeń końcowych już ją udostępnili.
