Core Lightning a exhorté les opérateurs de nœuds Bitcoin Lightning à passer à la version 26.06.7 après que les développeurs ont confirmé plusieurs failles de sécurité dans les versions antérieures de ce logiciel de paiement open source. Cet avis faisait suite à une vague de rapports de sécurité générés par l'IA qui a aidé à révéler les faiblesses.

La version 26.06.7 est sortie le 28 août, les détails des failles ayant d'abord été gardés sous embargo pendant deux semaines. Ce délai a donné aux opérateurs une fenêtre pour installer les correctifs avant que des attaquants puissent étudier les changements — un schéma de divulgation coordonnée courant dans le travail de sécurité open source, où les correctifs sont publiés d'abord et les spécificités techniques sont rendues publiques une fois la fenêtre close. Selon CoinDesk, les développeurs n'avaient trouvé aucune preuve que les failles étaient activement exploitées au moment de l'avertissement.

Pourquoi cette mise à jour est importante

Core Lightning, communément appelé CLN, permet aux opérateurs d'envoyer, de recevoir et de router des paiements Bitcoin sur le Lightning Network, une seconde couche où le logiciel de nœud maintient des canaux de paiement et suit le solde actuel de chacun. Un nœud compromis peut mettre en danger les fonds détenus dans les canaux de paiement Lightning.

Pour les opérateurs ne pouvant pas mettre à jour immédiatement, les développeurs ont recommandé de redémarrer CLN avec l'option –offline plutôt que d'éteindre la machine. Le mode hors ligne bloque la communication avec les autres nœuds Lightning tout en permettant au logiciel de continuer à surveiller la blockchain Bitcoin.

Cette distinction est significative : un nœud en fonctionnement peut détecter certaines tentatives de fermeture de canaux utilisant des soldes obsolètes, alors qu'une machine totalement éteinte n'offre aucune telle protection. Le projet a également mis fin au support de toutes les versions antérieures à 26.06.7, faisant de la mise à jour l'étape centrale de remédiation pour les opérateurs concernés.

Les utilisateurs de Docker font face à une vérification supplémentaire

Un problème distinct est apparu lors du déploiement initial pour les opérateurs utilisant Docker. Certaines images Docker publiées entre le 28 août et le 1er septembre affichaient la version 26.06.7 mais ne comprenaient pas les correctifs de sécurité complets. Core Lightning a ensuite actualisé les images concernées, et les opérateurs qui les ont récupérées pendant la période affectée doivent vérifier le digest de leur image et obtenir la version corrigée. Comme un digest est un identifiant fondé sur le contenu, lié au contenu exact d'une image, sa vérification permet de distinguer la version corrigée des versions incomplètes même lorsque les deux affichent le même numéro de version.

Cet épisode souligne un défi de sécurité plus large pour l'infrastructure Bitcoin : les outils d'IA découvrent de plus en plus de failles dans les projets open source, accélérant la recherche en sécurité tout en augmentant la pression sur les mainteneurs pour réagir rapidement. Pour les opérateurs Lightning, la priorité immédiate reste d'exécuter une version vérifiée et entièrement corrigée plutôt que de se fier au numéro de version affiché par le logiciel.

Source : CryptoMeter io