Bitcoin Core, l'implémentation de référence du protocole Bitcoin, a divulgué trois vulnérabilités de sécurité déjà corrigées, dont une faille de gravité élevée qui aurait pu perturber les opérations de minage de Bitcoin. Les avis de sécurité, publiés le 10 novembre 2026, détaillent les risques pesant sur la création de blocs, le traitement des transactions et la confidentialité du réseau dans les anciennes versions du logiciel.

Les divulgations sont intervenues plus d'un an après les correctifs eux-mêmes, publiés en octobre 2025. Les vulnérabilités affectant d'anciennes versions de Bitcoin Core, cette annonce tardive suscite des inquiétudes chez les mineurs et les opérateurs de nœuds utilisant toujours des logiciels non corrigés.

Un bug de gravité élevée a menacé les opérations de minage

Le problème le plus sérieux, référencé CVE-2025-62861, affectait les versions 28.0 à 28.2 et 29.0 à 29.1 de Bitcoin Core. La faille concernait la gestion des transactions lors des réorganisations de la blockchain — des événements où les nœuds Bitcoin basculent vers un historique de chaîne concurrent, communément appelés reorgs.

Dans certaines conditions, le bug pouvait laisser le pool de mémoire, ou mempool, dans un état incohérent. Les nœuds de minage affectés de cette manière pouvaient échouer à générer des modèles de blocs valides, les empêchant de produire de nouveaux blocs jusqu'à leur redémarrage. Les modèles de blocs étant l'entrée sur laquelle le matériel de minage travaille, le hashrate d'un opérateur affecté restait inactif jusqu'au redémarrage du nœud.

Le chercheur en sécurité Niklas Goegge a signalé la vulnérabilité en septembre 2025. Les développeurs l'ont corrigée dans Bitcoin Core 30.0, publiée le 10 octobre 2025. Les détails sont disponibles dans la divulgation officielle.

Deux vulnérabilités de gravité moyenne ont exposé des risques réseau

Parallèlement à la faille de minage, Bitcoin Core a divulgué deux vulnérabilités de gravité moyenne impliquant le traitement des blocs et les connexions au réseau Tor.

La première, CVE-2025-62859, permettait à des pairs malveillants de retarder le traitement des blocs via des données de witness de transaction manipulées. Les attaquants pouvaient potentiellement bloquer le traitement jusqu'à 10 minutes et répéter la perturbation dans des conditions réseau spécifiques — une fenêtre comparable aux dix minutes d'intervalle entre les blocs visé par le protocole de Bitcoin.

La seconde, CVE-2025-62860, affectait les nœuds utilisant certaines configurations de whitelist en combinaison avec des connexions Tor. Tor est le réseau d'anonymat pris en charge nativement par Bitcoin Core, couramment utilisé par les opérateurs de nœuds pour préserver la confidentialité de leur adresse IP. La faille pouvait accorder par erreur des permissions de confiance aux pairs Tor entrants, affaiblissant les protections contre les attaques par déni de service et les risques liés à la confidentialité. Les développeurs ont reconnu que des milliers de nœuds mainnet Bitcoin accessibles avaient des configurations les exposant à ce problème lié à Tor, mais les nœuds sans les paramètres de whitelist optionnels concernés n'étaient pas affectés.

Les divulgations soulignent l'importance de la maintenance des nœuds

Bitcoin Core a publié les correctifs des trois vulnérabilités dans la version 30.0, suivie d'autres versions corrigées. La dernière ligne de versions vulnérables a atteint sa fin de support le 27 octobre 2026.

Ces avis font suite à des découvertes de sécurité antérieures concernant la gestion de la mémoire et la stabilité des nœuds, et reflètent la pratique établie de Bitcoin Core consistant à retarder la divulgation de certains détails de vulnérabilités jusqu'à ce que les versions de logiciels concernées perdent leur support — une approche de divulgation coordonnée courante qui laisse aux utilisateurs le temps de se mettre à niveau avant que les détails techniques susceptibles d'aider à attaquer des nœuds non corrigés ne soient rendus publics. Les avis du 10 novembre sont parvenus environ deux semaines après cette date de fin de support, et les opérateurs peuvent évaluer leur exposition en comparant les versions déployées aux plages de versions citées dans les divulgations.

Bien que les dernières divulgations concernent des failles déjà corrigées, les installations obsolètes peuvent rester exposées. Les opérateurs de minage et les administrateurs de nœuds Bitcoin peuvent réduire ces risques en passant aux versions de logiciels supportées contenant les correctifs de sécurité, selon le rapport de CryptoMeter io.