2026年10月2日に公開されたGitHub issueの投稿者は、自身が脆弱性の報告者だと明記しています。投稿者は、Xray-coreの証明書ピンニング機能の変更で検証を回避できる問題が生じ、開発側が以前の問題を利用者に知らせず修正したと主張しています。これは報告者の説明であり、issueだけでは開発者の意図までは確認できません。
これは報告者の公開説明であり、開発者の意図に関する公式な認定ではない。
これは報告者の公開説明であり、開発者の意図に関する公式な認定ではない。
報告者の時系列によると、Xray-coreは2021年に証明書チェーンのピンニング機能を追加し、2026年1月に設定項目を置き換えました。さらに1月16日の変更で、新しい設定を使う際に通常のTLS検証を省くようになったとしています。公式リポジトリの同日付コミットも「pinnedPeerCert使用時にTLS組み込み検証をスキップする」と記しており、コード変更自体は確認できます。ただし、すべての設定でどう影響するかという報告者の解釈まで裏付けるものではありません。
報告者は2月6日に証明書チェーンの回避方法を見つけ、開発者へ非公開で連絡したと説明しています。その後、セキュリティ告知なしに修正とリリースが行われたとも主張します。公式のv26.2.6リリースページは公開日とTLS設定の変更を示し、関連コミットの題名は「証明書検証コードの簡素化」です。公開記録から変更時期は確認できますが、告知しなかった理由や意図までは分かりません。
別の公式セキュリティアドバイザリーは7月10日公開で、pinnedPeerCertSha256によるCAピンニングが一部ケースで中間者攻撃につながり得ると確認しています。特定のHysteria2およびgRPC経路でサーバー名の検証が抜ける条件を説明し、深刻度をLow、影響バージョンをv26.1.13以降、修正版をv26.7.11以降としています。これは関連する証明書ピンニングのリスクを公式に確認したものですが、報告者が先に説明した攻撃経路の細部すべてと同一ではありません。
報告者は7月3日に追加の回避問題を見つけ、GitHub Security Advisoryで報告したとしています。公式アドバイザリーは7月10日に公開されました。資料から技術的なリスクと公開時期は確認できますが、以前の問題を意図的に隠したという主張は、独立に立証された事実ではなく報告者の主張です。