Go 1.27.2 与 1.26.9：十个未公开 CVE，该怎么排补丁窗口

Go 团队在 10 月 8 日发布了 Go 1.27.2 和 1.26.9，修复十个未公开的安全漏洞。

涉及范围

Go 1.27.2 覆盖 go 命令、编译器、链接器、运行时、cover 工具、go fix 和 vet，安全补丁还涉及 crypto/tls、html/template、net/http、net/textproto、os、compress/flate、crypto/mlkem 和 encoding/json。

Go 1.26.9 覆盖 go 命令、编译器、链接器、运行时和 vet，安全修复集中在 crypto/tls、html/template、net/http、net/textproto 和 os。

为什么是“私有 CVE”

按 Go 项目的安全策略，属于“违反已承诺安全属性”的问题走 PRIVATE 轨道。团队会在二进制正式发布之前先预告，给运维留出排期窗口，同时避免过早暴露具体利用细节。

这个做法对使用方是友好的——你有几天时间准备，而不是补丁落地当天才知道。

排期建议

crypto/tls 和 net/http 属于暴露面最大的两个包，如果服务直接对外，优先升。编译器和链接器的修复影响构建链，CI 镜像可以稍后跟进，但不要拖到下个大版本。

检查当前版本

go version 看运行时，npm ls 那套在 Go 里不适用，依赖项的 Go 版本约束要看 go.mod 里的 go 指令。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

预通告发布给了运维排期空间，这个做法值得肯定。优先级上先升直接对外的服务，编译器和链接器的修复可以跟随 CI 镜像的常规更新节奏，不必单独开变更窗口。