CVE-2026-39821

30秒で判断

• 対応すべき人: golang.org/x/net/idna を（直接・間接に）利用し、ホスト名に基づく権限チェックを行っているGoアプリケーションの開発者
• 対応不要な人: idnaパッケージを利用していない方、ホスト名ベースの権限判定を行っていない方、修正版へ更新済みの方
• 確認コマンド: go list -m all | grep golang.org/x/net で依存バージョンを確認

概要

本脆弱性（CWE-1289: 正規化前の値による検証）は、golang.org/x/net/idna の ToASCII / ToUnicode 関数が、ASCIIのみのラベルへデコードされるPunycodeエンコードラベルを誤って受理することに起因します。例えば ToUnicode("xn--example-.com") がエラーではなく "example.com" を返すため、ASCIIホスト名で権限チェックを行うプログラムが "example.com" を拒否しつつ "xn--example-.com" を許可し、その後Unicode変換すると意図せず "example.com" へのアクセスを許してしまう可能性があります。

CVSSと攻撃の前提

影響を受けるソフトウェア

修正バージョンと回避策

• golang.org/x/net を修正版へ更新してください（go get golang.org/x/net@latest）。
• Go脆弱性DBのエントリ（GO-2026-5026）および govulncheck での確認を推奨します。

関連リンク

• NVD: CVE-2026-39821
• Go Vulnerability DB: GO-2026-5026
• golang-announce

データソース: NVD (NIST), Go Vulnerability Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。