El proyecto Rust publicó rustup 1.29.2 el 20 de octubre de 2026. El anuncio oficial del Rustup Team describe una actualización puntual de rustls-webpki y webpki-root-certs para abordar los certificados intermedios eMudhra problemáticos asociados a CVE-2026-111943.
Qué corrige
El aviso RUSTSEC-2026-0382 explica que versiones afectadas de rustls-webpki pueden aceptar cadenas con claves públicas intermedias emSign que han dejado de ser confiables, cuando las anclas de confianza configuradas permiten esas rutas. Las claves privadas correspondientes son conocidas públicamente.
El aviso identifica las versiones corregidas 0.103.16 y 0.104.0-alpha.8. Este alcance depende de la versión y la configuración de confianza de cada aplicación.
Cómo actualizar rustup
Conviene revisar estaciones de desarrollo y entornos de integración continua que utilicen rustup. El equipo recomienda detener los programas que puedan estar usándolo, como el IDE, y ejecutar:
rustup self update
rustup --version
El primer comando es el mecanismo de actualización indicado en el anuncio; el segundo permite comprobar la versión instalada. El anuncio también señala que rustup update actualiza el propio gestor al finalizar una actualización normal de la toolchain.
Revisar también las imágenes de CI
Como recomendación operativa de Hopfield, revisa imágenes base, cachés y scripts que fijen una versión anterior de rustup. Conserva la versión comprobada en el registro de la actualización y verifica una ejecución del pipeline.
Actualizar el gestor no acredita que todas las aplicaciones Rust hayan corregido sus dependencias. Si un proyecto utiliza rustls-webpki, contrasta por separado su archivo de dependencias resueltas con el aviso RustSec.
Portada: ilustración conceptual generada con IA para Hopfield Technologies; no representa evidencia de una intrusión.