Bitcoin Core a publiquement divulgué CVE-2025-62861, une vulnérabilité de gravité élevée qui aurait pu empêcher des nœuds de minage de produire de nouveaux blocs à la suite d'une réorganisation de chaîne. La faille a été discrètement corrigée il y a plus d'un an, et aucune exploitation dans la nature n'a été confirmée. Néanmoins, cette divulgation met en évidence la manière dont des bugs critiques peuvent passer inaperçus dans le pipeline de développement open source de Bitcoin avant que la communauté élargie n'en prenne connaissance. La désignation CVE elle-même provient du système Common Vulnerabilities and Exposures, le registre standard utilisé par les équipes de sécurité pour suivre les failles logicielles publiquement connues.

Le bug à l'origine du risque de minage

Bitcoin Core est l'implémentation logicielle de référence sur laquelle s'appuient la plupart des nœuds complets et des infrastructures de minage pour valider les transactions et construire des modèles de blocs — les blocs candidats qu'un nœud assemble à partir de son mempool pour que les mineurs les hachent. Il se distingue du réseau Bitcoin lui-même : le réseau continue de fonctionner tant qu'un nombre suffisant de nœuds exécute des logiciels compatibles, mais un défaut dans Core peut néanmoins créer de sérieux problèmes opérationnels pour les mineurs qui en dépendent.

Selon l'avis officiel de Bitcoin Core, CVE-2025-62861 a été introduite dans la version 28.0 aux côtés d'une fonctionnalité appelée TRUC, également connue sous le nom de relais de transactions v3 — une politique de relais qui restreint la structure de certaines transactions et de leurs descendants non confirmés afin de rendre plus fiable l'augmentation des frais pour les chaînes de transactions en attente. Le déclencheur était une réorganisation de chaîne, le processus par lequel le réseau remplace des blocs récemment ajoutés par une chaîne concurrente, généralement lorsque des candidats de blocs concurrents sont trouvés à intervalles rapprochés. Lors d'une telle réorganisation, la logique d'éviction des transactions sœurs de TRUC n'était pas conditionnée par le drapeau bypass_limits qui s'applique normalement lors de la réajout des transactions au mempool — la zone de stockage du nœud pour les transactions validées en attente d'inclusion dans un bloc. Conséquence : des transactions dépensant des sorties qui n'existaient plus pouvaient demeurer dans le mempool, en corrompant l'état et en empêchant la création de modèles de blocs jusqu'au redémarrage du nœud.

Le risque pratique était étroit mais significatif. Un nœud de minage exécutant une version affectée et rencontrant une réorganisation pouvait perdre silencieusement la capacité d'assembler de nouveaux blocs, perdant les récompenses de blocs jusqu'à ce qu'un opérateur s'en aperçoive et redémarre le processus. Comme les réorganisations de chaîne sont une partie normale, quoique peu fréquente, du fonctionnement de Bitcoin, le scénario n'était pas théorique.

Les faits essentiels de la divulgation :

• Bitcoin Core a publié des correctifs dans v28.3, v29.2 et v30.0 pour ce bug de gravité élevée, qui pouvait bloquer des nœuds de minage après une réorganisation de chaîne.
• Le risque concernait la continuité du minage plutôt que le réseau Bitcoin dans son ensemble, et aucune exploitation n'a été confirmée.
• Les opérateurs de nœuds et les mineurs exécutant les versions 28.0–28.2 ou 29.0–29.1 doivent consulter l'avis officiel et procéder à une mise à niveau.
• Le chercheur en sécurité Niklas Goegge a signalé la faille le 26 septembre 2025. Le développeur Greg Sanders a ouvert le PR de correction #33504 trois jours plus tard ; il a été fusionné le 2 octobre 2025 et rétroporté — appliqué rétroactivement aux anciennes versions prises en charge — sur trois branches de version : v30.0 le 10 octobre, v29.2 le 14 octobre et v28.3 le 17 octobre, toutes en 2025.

Comment une interruption du minage aurait pu se propager

Les mineurs s'affrontent pour ajouter de nouveaux blocs à la chaîne Bitcoin environ toutes les dix minutes. Lorsqu'un nœud ne peut pas construire un modèle de bloc valide, il ne peut pas participer à cette compétition. La mise hors ligne d'un seul nœud affecté ne nuit qu'à son opérateur ; une défaillance plus large touchant de nombreux nœuds exécutant la même version vulnérable du logiciel pourrait, en théorie, ralentir le rythme de confirmation des transactions pour l'ensemble du réseau.

L'avis de Bitcoin Core a confirmé qu'aucune exploitation n'avait eu lieu et que le réseau n'a montré aucune perturbation pendant la période d'existence du bug. Cet épisode illustre néanmoins la dépendance opérationnelle des mineurs et des opérateurs de nœuds envers la base de code de Core, en particulier lorsque de nouvelles fonctionnalités de relais de transactions comme TRUC sont introduites.

CVE-2025-62861 n'a pas été divulguée isolément. Comme l'a rapporté Unchained Crypto, Bitcoin Core a simultanément divulgué deux vulnérabilités supplémentaires de gravité moyenne : CVE-2025-62860, dans laquelle les connexions entrantes Tor se voyaient incorrectement accorder des permissions de liste blanche, affectant un grand nombre de nœuds sur le mainnet, et CVE-2025-62859, dans laquelle un pair malveillant pouvait bloquer le traitement des blocs via un abus des compact blocks. Les compact blocks sont un format de relais économe en bande passante dans lequel les nœuds échangent de courtes références aux transactions plutôt que les données complètes des blocs. Les trois correctifs avaient déjà été publiés avant la date de divulgation du 10 novembre 2026.

La réaction de la communauté crypto sur X a été mesurée, la plupart des commentateurs notant que les correctifs étaient disponibles depuis plus d'un an. Dans une publication sur X, @TFTC21 a écrit que le pire bug, classé High, pouvait laisser un nœud de minage incapable de construire des blocs après une réorganisation jusqu'à son redémarrage, et a exhorté quiconque exécute encore une version antérieure à 29.2 ou 30.0 à en prendre conscience.

Un long embargo — et une nouvelle politique de divulgation

Bitcoin Core a retenu la divulgation publique pendant environ 396 jours après la publication des correctifs, attendant spécifiquement que la branche de version vulnérable 29.x atteigne sa fin de vie le 27 octobre 2026 — le moment où une version cesse de recevoir des mises à jour de sécurité. Cet intervalle est notamment long, même selon les normes historiques du projet en matière de divulgation responsable. Les embargos de ce type sont une composante habituelle de la divulgation coordonnée de vulnérabilités, la pratique consistant à retenir les détails techniques jusqu'à ce que les utilisateurs concernés disposent d'un délai réaliste pour se mettre à niveau.

Ce calendrier coïncide également avec une mise à jour de la politique de Bitcoin Core. Le projet entend désormais divulguer immédiatement après correction les vulnérabilités détectables par les outils d'IA, plutôt que de les maintenir sous embargo prolongé. Comme l'a rapporté Decrypt, ce changement reflète la préoccupation croissante selon laquelle les grands modèles de langage pourraient aider des acteurs malveillants à redécouvrir des failles connues à partir des diffs de correctifs avant que les opérateurs n'aient eu le temps de se mettre à niveau.

Ce que les opérateurs de nœuds, les mineurs et les utilisateurs doivent faire ensuite

Les opérateurs exécutant Bitcoin Core versions 28.0, 28.1, 28.2, 29.0 ou 29.1 utilisent un logiciel contenant la faille de gravité élevée affectant les nœuds de minage. Les versions corrigées sont v28.3, v29.2 et v30.0. Les opérateurs de nœuds et les équipes d'infrastructure de minage doivent consulter l'avis CVE officiel et leurs procédures internes de déploiement avant la mise à niveau, car toute mise à jour majeure d'un logiciel de nœud comporte son propre risque opérationnel et doit d'abord être testée dans des environnements de préproduction.

Les utilisateurs qui n'exploitent pas directement Bitcoin Core ni ne gèrent d'infrastructure de minage n'ont aucune action immédiate à entreprendre. Le réseau Bitcoin lui-même n'a pas été perturbé, et les confirmations de transactions n'ont pas été affectées pendant la période d'existence de la vulnérabilité.

Le panorama de sécurité plus large de l'infrastructure Bitcoin a récemment attiré l'attention, les violations de sécurité très médiatisées dans l'industrie crypto maintenant les opérateurs d'échanges et de services de conservation en alerte. La divulgation de Bitcoin Core relève d'une catégorie de risque différente, concernant un logiciel de nœud open source plutôt que des systèmes de conservation d'actifs, mais elle renforce l'argument en faveur de mises à jour logicielles opportunes sur l'ensemble de l'infrastructure liée à Bitcoin.

Les opérateurs de minage en particulier devraient traiter les deux CVE de gravité moyenne avec le même sérieux que celle de gravité élevée. La mauvaise configuration des permissions Tor (CVE-2025-62860) et l'attaque de blocage via compact blocks (CVE-2025-62859) ont toutes deux affecté des nœuds de mainnet en production et ont été corrigées dans le même cycle de publication. L'exécution de la dernière version prise en charge remédie simultanément aux trois.

La nouvelle politique de divulgation des bugs détectables par IA de Bitcoin Core signale que les futurs cycles de correctifs pourraient aller plus vite de la correction à l'annonce publique. Pour les opérations de minage et les opérateurs de nœuds, cela raccourcit la fenêtre entre la disponibilité d'un correctif et la large connaissance des détails de la vulnérabilité, rendant des cadences de mise à niveau rapides plus importantes qu'elles ne l'ont été par le passé.

Note éditoriale : cet article a été vérifié par l'équipe QC de CoinWy avant sa publication le 11 novembre 2026, notamment pour l'exactitude du titre, la valeur originale, la cohérence factuelle, les métadonnées, les mentions commerciales et les déclarations de paternité. CoinWy utilise l'IA pour la recherche, la rédaction et la révision ; son équipe éditoriale est responsable de chaque article et corrige ou retire les articles lorsque nécessaire.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre des décisions.