Una incidencia pública de GitHub, publicado el 2 de octubre de 2026, está firmado por alguien que se identifica como la persona que reportó la vulnerabilidad. El autor sostiene que los cambios de fijación de certificados de Xray-core introdujeron un bypass y que los mantenedores corrigieron una versión anterior sin avisar a los usuarios. Es una acusación del investigador; el issue no demuestra la intención de los mantenedores.
Es el relato público del investigador, no una conclusión oficial sobre la intención de los mantenedores.
Es el relato público del investigador, no una conclusión oficial sobre la intención de los mantenedores.
Según la cronología del investigador, Xray-core añadió el pinning de la cadena de certificados en 2021, sustituyó esa opción en enero de 2026 y modificó la lógica de la nueva opción el 16 de enero para omitir la verificación TLS habitual. El commit oficial de ese día se titula «Skip TLS built-in verification when using pinnedPeerCert», lo que confirma el cambio de código, pero no las conclusiones del investigador sobre todas sus configuraciones.
El autor de la incidencia dice que encontró un bypass de la cadena de certificados el 6 de febrero y avisó en privado a los mantenedores. Afirma que después hubo una corrección y un lanzamiento sin aviso de seguridad. La página oficial de la versión v26.2.6 confirma la fecha y los cambios de configuración TLS; el commit correspondiente se titula «Simplify cert's verification code». Estos registros respaldan la cronología y los cambios de código, pero no revelan si la falta de aviso fue intencional.
Un aviso de seguridad distinto de Xray-core, publicado el 10 de julio, confirma que fijar una CA con pinnedPeerCertSha256 puede permitir ataques de intermediario en algunos casos. Describe una falta de verificación del nombre del servidor en determinadas rutas de Hysteria2 y gRPC, asigna gravedad baja, y señala como afectadas las versiones desde v26.1.13 y como corregidas las versiones desde v26.7.11. Es una confirmación oficial de un riesgo relacionado con el pinning de certificados, aunque la condición de ataque descrita no equivale a todos los detalles del relato anterior.
El investigador afirma que encontró otro bypass el 3 de julio y lo notificó mediante GitHub Security Advisory. El aviso oficial se publicó el 10 de julio. Las fuentes establecen un riesgo técnico y una cronología de divulgación pública, pero la afirmación de que los mantenedores ocultaron el problema anterior sigue siendo una acusación del investigador, no una conclusión demostrada de forma independiente.