2026 年 10 月 21 日，Tailscale 发布 1.104.2，并在 TS-2026-013 安全公告中建议用户升级。此次 Tailscale 1.104.2 安全更新通过 Go 1.27.3 拒绝受影响的 eMudhra TLS 中间证书，面向仍可能信任这些证书的设备。合理行动是盘点实际客户端版本，安排升级到 1.104.2 或更高版本，而不是等连接出现故障才处理。依据：Tailscale 安全公告 TS-2026-013。
同日的官方 1.104.2 更新日志将这项 Go 更新列为全平台变更。需要区分影响边界：公告明确指出，使用节点密钥的标准节点间 WireGuard 流量不受此问题影响。升级应围绕 TLS 信任和客户端版本核验展开；仅凭设备之间还能互通，无法判断这项安全更新是否已经落实。
先抓住三个升级判断
- 先看运行版本：已有正常连接不等于已经安装修复版本。
- 再看部署方式：桌面安装包、应用商店和容器应分别确认更新结果。
- 最后保留证据：记录升级前后版本、更新时间，以及业务访问检查结果。
以下清单是依据官方公告与升级文档整理的编辑建议，不是现场测试报告。它适用于维护自有设备或获得授权的企业网络；具体维护窗口和软件分发方式应由设备负责人决定。
为什么自己的服务器证书没有更换，也需要关注？
这次关注的是客户端信任哪些签发链。Go 团队在 2026 年 10 月 19 日的Go 1.27.3 与 1.26.10 安全发布公告中说明，crypto/x509 的验证逻辑会过滤包含指定中间证书的证书链。它不是要求所有用户更换自己持有的服务器证书，也不是一项代理协议迁移。
Tailscale 对事件的描述更具体：八张 eMudhra TLS 中间证书的私钥泄露，仍信任相关证书的设备可能接受攻击者为不属于自己的域名生成的证书。该归因来自 Tailscale；Go 公告本身只说明针对特定证书颁发机构的安全顾虑和阻断措施，未给出同等详细的事件经过。
编辑建议是把“我是否使用该机构签发的服务器证书”和“我的客户端是否可能信任相关证书链”分开检查。前者回答自己的服务如何出示身份，后者决定客户端如何判断远端身份。只查自家域名的证书签发者，不能代替客户端升级。
哪些设备应进入检查清单？
按照 TS-2026-013 的范围，重点是系统证书库仍保留相关信任的设备。Tailscale 说明 1.104.2 或更高版本即使遇到系统库仍包含相关证书，也会拒绝信任；其内部服务也已更新。管理员仍应按公告落实客户端更新，不能从服务端已修复推导出所有终端已经完成修复。
建议先列出笔记本、固定服务器、承担网络访问职责的设备和容器实例，再标注负责人、安装渠道及维护窗口。对于无法确认系统证书状态的设备，优先执行官方版本升级路径，比凭证书名称猜测是否受影响更容易审计。这是维护顺序建议，不代表这些设备已经发生入侵。
不要把这次事件与此前的嵌入式库修复混为一谈。使用应用内嵌 Tailscale 的团队，可以另阅libtailscale 0.2.0 受影响应用与升级核验指南，分别追踪两项更新；两篇文章讨论的版本对象和问题不同。
升级前后如何留下可核验结果？
第一步：盘点每台设备，而不是只检查管理员电脑
官方升级文档说明，可在管理控制台的 Machines 页面查看 Version 列，并用版本筛选器查找可更新设备。建议保存一次内部盘点记录，至少包括设备名、版本和核验时间。对离线或暂时无法联系的设备标记“待核验”，不要把没有新数据解释成升级成功。
第二步：通过原有官方渠道更新
Windows 用户可按升级文档运行官方安装程序，或使用文档列出的 tailscale update。其他平台应选择文档对应的平台说明和既有官方分发渠道，不要把 Windows 操作直接套用到手机或受管理设备。企业统一分发的客户端，应把升级任务交给已有的软件管理流程。
官方文档说明，自动更新并不一定在版本发布后立刻发生。因此“已开启自动更新”只是一项配置状态，仍需查看实际版本。应用商店暂未显示目标版本时，记录渠道和检查时间，继续关注官方入口；不要用来源不明的安装包补齐版本号。
第三步：容器检查必须包含重部署
官方文档提醒，容器内的自动更新不会在重启之间持久保留，固定旧镜像版本的配置可能在重部署后恢复旧客户端。编辑建议是同时检查运行实例和部署配置，更新镜像引用后再按正常流程重建，并再次核验版本。若容器本身还存在退出问题，可结合Tailscale 容器异常退出与升级核验指南单独诊断，避免把所有异常都归因于证书事件。
第四步：验证业务，并记录失败发生在哪一层
- 确认升级后的客户端实际运行，版本满足公告建议；不能只凭安装包下载完成结案。
- 在授权范围内访问一项日常使用的内网服务，记录连接是否成功及错误时间。
- 容器或其他会被重新创建的实例，在重部署后重复版本检查。
- 如出现 TLS 错误，保留错误文本与目标服务信息，让服务负责人检查证书链。
- 如表现为访问被策略拒绝，可转查设备姿态检查失败与内网访问诊断，不要用放宽证书验证作为通用修复。
这些检查只能证明版本落实情况和所选业务路径的可用性，不能证明历史上从未遭遇攻击。无需连接可疑站点来“测试”漏洞，也不应为了恢复连接关闭证书校验。出现升级后的失败时，应保留可复核的现象，再区分证书、访问策略或部署配置问题。
常见问题
节点之间还能正常通信，可以暂不检查吗？
不宜用互通结果代替版本检查。公告已区分标准节点间 WireGuard 数据流量和 TLS 证书信任，两者的验证对象不同。合理做法是按维护流程升级，并保留互通测试作为业务检查的一部分。
只更新系统证书库就够了吗？
Tailscale 公告给出的用户动作是升级到 1.104.2 或更高版本。系统更新可以作为正常维护继续执行，但本文没有核验各操作系统何时移除了哪些证书，因此不能承诺仅更新系统库即可替代该客户端升级建议。
需要另外在电脑上安装 Go 1.27.3 吗？
对使用官方 Tailscale 客户端的用户，按 Tailscale 的升级路径操作即可。公告描述的是客户端包含的 Go 版本。若团队自行编译软件，则需由构建负责人检查工具链与产物；只改变某台电脑上的 Go 安装，并不是运行中客户端已经更新的证据。
升级后是否可以确认所有应用都不再受影响？
不能把 Tailscale 的更新结论扩展到浏览器或其他应用。本文核验的是 Tailscale 公告和相关 Go 更新，未逐一检查其他软件的证书验证实现。其他应用应依据各自厂商公告处理，历史影响也需要单独的证据判断。
官方来源与核验入口
- Tailscale，Security Bulletins：TS-2026-013，发布于 2026-10-21。核验事件描述、影响边界及升级建议。
- Tailscale，Changelog：Tailscale v1.104.2，发布于 2026-10-21。核验全平台 Go 版本变更。
- Tailscale，Update Tailscale · Tailscale Docs，持续维护文档，访问于 2026-10-23。核验版本盘点、平台更新和容器限制。
- Go team，[security] Go 1.27.3 and Go 1.26.10 are released，发布于 2026-10-19。核验证书链验证变更的上游公告。
关于作者
