組み込みWebサーバーGoAhead、CRLを読み込むだけで失効確認せず　6.1.1で失効済みクライアント証明書の受理などTLSの欠陥3件を修正

GoAheadのOpenSSLバックエンドは、設定した証明書失効リスト（CRL）を読み込むものの、OpenSSLが失効確認に必要とするX509_V_FLAG_CRL_CHECKフラグを設定していなかったため、相互TLSで失効済みのクライアント証明書を受け入れていた。影響は3.4.5〜6.1.0で、相互TLS・発行者チェック・CRLを設定した構成が対象。深刻度は9.1（CVE-2026-115881）。ほかに、Mbed TLSバックエンドでDHパラメータの長さ指定をsizeof(dhm_g)とsizeof(dhm_p)で取り違え、TLS 1.2のDHE-RSAで1バイトのDH法（P=0xFF）を送ってしまい受動的な盗聴者がセッションを復号できる問題（深刻度5.9、4.0.2〜6.1.0）と、LibreSSLの旧検証器で深さ上限を超えたクライアント証明書チェーンを受け入れる問題（CVE-2026-115884、7.4）も修正された。6.1.1はデバイスメーカー向けに8月2日に出ており、勧告は10月12日、FoxIOの解説は10月26日に公開された。6.1.1ではBlowfishを使うBasic認証の回避、WindowsでのCGIインジェクション、HTTPリクエストスマグリングも併せて修正している。