一篇于 2026 年 10 月 2 日发布的 GitHub issue，其作者自称是该漏洞的报告者。作者指称，Xray-core 的证书固定机制变更造成了绕过漏洞，维护者修复早期问题时没有通知用户。这是报告者的说法；仅凭该 issue 无法确认维护者的意图。
这是报告者公开发布的说法，并非对维护者意图的官方认定。
这是报告者公开发布的说法，并非对维护者意图的官方认定。
按报告者提供的时间线，Xray-core 在 2021 年加入证书链固定功能，2026 年 1 月替换了相关选项，并于 1 月 16 日修改新选项的逻辑，使其跳过常规 TLS 验证。项目方 1 月 16 日的提交标题确实写明，使用 pinnedPeerCert 时跳过 TLS 内置验证；这能证实代码改动，但不能证明报告者对所有配置影响的解读。
报告者称，自己在 2 月 6 日发现证书链绕过方式，并私下通知维护者；随后项目方进行了修复和发布，却没有安全公告。Xray-core 的 v26.2.6 发布页确认了发布时间和 TLS 配置变更，相关提交标题为“简化证书验证代码”。这些公开记录支持时间线和代码变动，但无法说明没有发布安全公告是否出于故意。
Xray-core 于 7 月 10 日发布的另一份官方安全公告确认，使用 pinnedPeerCertSha256 固定 CA 证书，在某些情况下可能导致中间人攻击。公告描述了部分 Hysteria2 与 gRPC 调用路径缺少服务器名称验证的情形，评定严重程度为 Low，并列出 v26.1.13 及之后版本为受影响版本、v26.7.11 及之后版本为修复版本。这是对相关证书固定风险的官方确认，但公告描述的攻击条件并不等同于报告者早先叙述的所有细节。
报告者称，自己在 7 月 3 日又发现一个绕过问题，并通过 GitHub Security Advisory 上报；项目方的官方公告于 7 月 10 日发布。现有资料能够确认技术风险及公开披露时间，但“维护者蓄意隐瞒早期问题”仍是报告者的指称，尚非独立证实的结论。