Xray-core полгода скрывал уязвимость обхода проверки сертификатов
Xray-core concealed a certificate verification bypass vulnerability
Xray-core, популярное прокси-ПО, полгода скрывал уязвимость обхода проверки сертификатов. В январе 2026 года опция pinnedPeerCertSha256 заменила безопасный pinnedPeerCertificateChainSha256, но содержала баг, позволяющий злоумышленнику встроить листовой сертификат в цепочку и обойти проверку. Уязвимость исправили молча, не уведомив пользователей. В июле выяснилось, что фикс неполный, и только тогда проблему раскрыли через GitHub Security Advisory.
Xray-core сами и есть тот человеческий фактор, который оставил пользователей беззащитными и «голыми».