B
今週中
Goベースのファイルサーバライブラリ「goshs」において、認証回避やディレクトリトラバーサルなど複数の深刻な脆弱性
📌 一言でいうと
Goベースのファイルサーバライブラリ「goshs」において、認証回避やディレクトリトラバーサルなど複数の深刻な脆弱性が発見されました。特にCVE-2026-40884はCVSSスコア9.8のクリティカルな脆弱性であり、SFTPサービス有効化時の特定条件下でパスワードなしにファイル操作が可能です。開発者はこれらの問題を修正したメジャーバージョン2.0.0を公開しています。
🏢影響範囲
goshsライブラリを利用してファイルサーバを構築している組織および開発者
✅該当時の対応
速やかにgoshsを最新バージョン（2.0.0以降）にアップデートすることを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【脆弱性対応】ファイルサーバライブラリ「goshs」のアップデートについて
お疲れさまです。goshsの脆弱性に関する情報共有です。
■ 概要
Goベースのファイルサーバライブラリ「goshs」において、認証回避（CVE-2026-40884）を含む複数の深刻な脆弱性が確認されました。特に認証回避の脆弱性はCVSS v3.1でベーススコア9.8（Critical）とされており、SFTPサービス有効化時の特定条件下で、パスワードなしにファイルの閲覧・操作が行われる危険性があります。
■ 影響範囲
- goshs バージョン 2.0.0 未満を利用している環境
■ 対応手順
1. 利用中のライブラリのバージョンを確認してください。
2. 脆弱性が修正された最新バージョン（2.0.0以降）へ速やかにアップデートを適用してください。
■ 参考情報
- GitHub: patrickhener/goshs
- Security NEXT 記事
対応優先度: 高（速やかな対応を推奨します）
お疲れさまです。goshsの脆弱性に関する情報共有です。
■ 概要
Goベースのファイルサーバライブラリ「goshs」において、認証回避（CVE-2026-40884）を含む複数の深刻な脆弱性が確認されました。特に認証回避の脆弱性はCVSS v3.1でベーススコア9.8（Critical）とされており、SFTPサービス有効化時の特定条件下で、パスワードなしにファイルの閲覧・操作が行われる危険性があります。
■ 影響範囲
- goshs バージョン 2.0.0 未満を利用している環境
■ 対応手順
1. 利用中のライブラリのバージョンを確認してください。
2. 脆弱性が修正された最新バージョン（2.0.0以降）へ速やかにアップデートを適用してください。
■ 参考情報
- GitHub: patrickhener/goshs
- Security NEXT 記事
対応優先度: 高（速やかな対応を推奨します）
Subject: [Action Required] Critical Vulnerabilities in goshs File Server Library
Hi all,
This is a security advisory regarding multiple vulnerabilities discovered in the Go-based file server library "goshs".
■ Overview
Several critical vulnerabilities have been identified, most notably CVE-2026-40884, which allows authentication bypass. This vulnerability has a CVSS v3.1 base score of 9.8 (Critical). Under specific configurations where the SFTP service is enabled, an attacker could access, upload, delete, or modify files without a password.
Other identified issues include directory traversal (CVE-2026-40876), information leakage (CVE-2026-40885), and CSRF (CVE-2026-40883).
■ Affected Scope
- Environments using goshs versions prior to 2.0.0
■ Remediation Steps
1. Verify the current version of the goshs library in your environment.
2. Update to the latest version (2.0.0 or later) promptly to mitigate these risks.
■ Reference
- GitHub: patrickhener/goshs
Priority: High (Prompt update is strongly recommended)
Hi all,
This is a security advisory regarding multiple vulnerabilities discovered in the Go-based file server library "goshs".
■ Overview
Several critical vulnerabilities have been identified, most notably CVE-2026-40884, which allows authentication bypass. This vulnerability has a CVSS v3.1 base score of 9.8 (Critical). Under specific configurations where the SFTP service is enabled, an attacker could access, upload, delete, or modify files without a password.
Other identified issues include directory traversal (CVE-2026-40876), information leakage (CVE-2026-40885), and CSRF (CVE-2026-40883).
■ Affected Scope
- Environments using goshs versions prior to 2.0.0
■ Remediation Steps
1. Verify the current version of the goshs library in your environment.
2. Update to the latest version (2.0.0 or later) promptly to mitigate these risks.
■ Reference
- GitHub: patrickhener/goshs
Priority: High (Prompt update is strongly recommended)