Go 安全团队复盘了 10 月那场证书事故里的应对。10 月 17 日 Mozilla 把 eMudhra 根证书下的八个中间证书（六个用于 TLS，两个用于代码签名）加入 OneCRL，等于在 Firefox 里拉黑；19 日 Go 团队从外部研究者处得知，这些中间证书的私钥弱到能在微秒级被恢复——由于该根证书几乎装在所有信任库里，攻击者可以给任意域名签出合法证书、做 TLS 中间人。Go 标准库自带证书验证器：Windows 与 macOS 交给系统 API，Linux 没有平台接口、也没有统一的吊销检查机制，于是团队决定在运行时层面移除信任，并为此启用了史上第一次 URGENT 轨道发版。时间线是 11:45 接到警报、12:30 Mozilla 独立确认、14:00 补丁完成、15:00 开始出 1.27.3 与 1.26.10、19:13 公开发布，从通知到全球可用不足七个半小时；发版流程本身花掉近四小时十五分，暴露出平时被多日节奏掩盖的问题。后续动作包括：URGENT 发版也要提前预告、给 Linux 补齐吊销支持（调研 upki 项目，issue #82402）。