Bitcoin Coreは、チェーン再編（リオーガナイゼーション）後にマイニングノードが新しいブロックを生成できなくなる可能性のあった高危険度脆弱性CVE-2025-62861を公開しました。この欠陥は1年以上前に静かに修正されており、実際の悪用は確認されていません。それでも今回の公開は、重大なバグがより広いコミュニティに知られる前に、Bitcoinのオープンソース開発パイプラインをどのように静かに通過しうるかを浮き彫りにしています。CVEという名称自体は、Common Vulnerabilities and Exposures（共通脆弱性識別子）システム、すなわちセキュリティチームが公知のソフトウェア欠陥を追跡するために使用する標準的なレジストリに由来します。

マイニングリスクの背景にあるバグ

Bitcoin Coreは、大多数のフルノードとマイニングインフラがトランザクションの検証やブロックテンプレート（ノードがメモリプールから組み立て、マイナーがハッシュ化する候補ブロック）の作成に依存しているリファレンスソフトウェア実装です。これはBitcoinネットワークそのものとは別物であり、十分な数のノードが互換ソフトウェアを実行している限りネットワークは動作し続けますが、Coreの欠陥はそれに依存するマイナーに重大な運用上の問題を引き起こす可能性があります。

Bitcoin Coreの公式アドバイザリーによると、CVE-2025-62861はTRUC、すなわちv3トランザクションリレー（保留中トランザクションチェーンの手数料引き上げをより確実にするため、特定のトランザクションとその未確認の子孫の構造を制限するリレーポリシー）とともにバージョン28.0で導入されました。引き金となったのはチェーン再編、つまり競合するブロック候補がほぼ同時に見つかった場合などに、ネットワークが直近に追加されたブロックを競合チェーンに置き換えるプロセスです。このような再編の際、TRUCの兄弟トランザクション退避ロジックが、トランザクションがメモリプール（ブロックへの取り込みを待つ検証済みトランザクションのノード内保持領域）に再追加される際に通常適用されるbypass_limitsフラグによってゲートされていませんでした。その結果、すでに存在しないアウトプットを使うトランザクションがメモリプールに残り、その状態を破損させ、ノードが再起動されるまでブロックテンプレートの作成が妨げられました。

実際のリスクは限定的でしたが意味のあるものでした。影響を受けるバージョンを実行するマイニングノードが再編に遭遇すると、静かに新しいブロックの組み立て能力を失い、オペレーターが気づいて再起動するまでブロック報酬を逸失する可能性がありました。チェーン再編はBitcoinの運用における、まれではあるものの正常な出来事であるため、このシナリオは理论的なものではありませんでした。

今回の公開の重要な事実：

• Bitcoin Coreは、チェーン再編後にマイニングノードを停止させ得る高危険度バグに対し、v28.3、v29.2、v30.0で修正パッチを提供しました。
• リスクはBitcoinネットワーク全体ではなくマイニングの継続性に関するもので、悪用は確認されていません。
• バージョン28.0～28.2または29.0～29.1を実行しているノードオペレーターとマイナーは、公式アドバイザリーを確認しアップグレードすべきです。
• セキュリティ研究者のNiklas Goegge氏が2025年9月26日にこの欠陥を報告しました。開発者のGreg Sanders氏が3日後に修正PR #33504をオープンし、2025年10月2日にマージされ、3つのリリースラインにバックポート（旧サポート対象リリースラインへの遡及適用）されました：2025年10月10日のv30.0、10月14日のv29.2、10月17日のv28.3です。

マイニング中断が波及した可能性

マイナーはおよそ10分ごとにBitcoinのチェーンへ新しいブロックを追加する競争を行っています。ノードが有効なブロックテンプレートを作成できない場合、その競争に参加できません。影響を受けた単一のノードがオフラインになっても被害はそのオペレーターに限られますが、同じ脆弱なソフトウェアバージョンを実行する多くのノードで広範な障害が発生すれば、理論上はネットワーク全体のトランザクション承認のペースが遅くなる可能性がありました。

Bitcoin Coreのアドバイザリーは、悪用が発生しなかったこと、およびバグが存在した期間中ネットワークに混乱が見られなかったことを確認しています。それでもこの一件は、TRUCのような新しいトランザクションリレー機能が導入される際などに、マイナーやノードオペレーターがCoreのコードベースに運用上依存していることを示しています。

CVE-2025-62861は単独で公開されたわけではありません。Unchained Cryptoの報道によると、Bitcoin Coreは同時に中危険度の脆弱性を2件追加で公開しました：Torインバウンド接続に誤ってホワイトリスト権限が付与され、多数のメインネットノードに影響したCVE-2025-62860、および悪意あるピアがコンパクトブロックの悪用によりブロック処理を停止させ得たCVE-2025-62859です。コンパクトブロックとは、ノードが完全なブロックデータではなくトランザクションへの短い参照を交換する帯域節約型のリレー形式です。3件すべての修正は、2026年11月10日の公開日より前にすでに提供されていました。

X上での暗号資産コミュニティの反応は落ち着いたもので、多くの論者がパッチが1年以上前から入手可能だったと指摘しました。Xへの投稿で、@TFTC21は、高危険度と評価された最悪のバグについて、再編後にマイニングノードが再起動されるまでブロックを作成できなくなる可能性があると述べ、29.2や30.0より古いバージョンをまだ実行している人はすべて注意するよう促しました。

長い Embargo と新しい公開方針

Bitcoin Coreは、修正提供後およそ396日間公開を控え、脆弱な29.xリリースラインが2026年10月27日にサポート終了（リリースがセキュリティ更新の提供を止める時点）を迎えるのを特に待ちました。この期間は、このプロジェクト自身の歴史的基準から見ても際立って長いものです。この種のEmbargoは、影響を受けるユーザーが現実的なアップグレードの機会を得られるまで技術的詳細を控える協調脆弱性公開の定石です。

このタイミングは、Bitcoin Coreの方針更新とも重なっています。同プロジェクトは現在、AIツールで発見可能な脆弱性については、長期のEmbargoの下で保持するのではなく、パッチ適用後ただちに公開する意向です。Decryptの報道によると、この転換は、オペレーターがアップグレードする時間を得る前に、大規模言語モデルが悪意ある行為者がパッチの差分から既知の欠陥を再発見するのを助け得るという懸念の高まりを反映しています。

ノードオペレーター、マイナー、ユーザーが次にすべきこと

Bitcoin Coreバージョン28.0、28.1、28.2、29.0、または29.1を実行しているオペレーターは、高危険度のマイニングノード欠陥を含むソフトウェアを実行しています。修正済みリリースはv28.3、v29.2、v30.0です。ノードオペレーターとマイニングインフラチームは、大規模なノードソフトウェア更新にはそれ自体の運用リスクが伴い、まずステージング環境でテストすべきであるため、アップグレード前に公式CVEアドバイザリーと社内デプロイ手順を確認すべきです。

Bitcoin Coreを直接運用したりマイニングインフラを管理したりしていないユーザーには、直ちに取るべき対応はありません。Bitcoinネットワーク自体に混乱はなく、脆弱性が存在した期間中もトランザクション承認には影響しませんでした。

Bitcoinインフラをめぐるより広いセキュリティ情勢は最近注目を集めており、暗号資産業界の著名なセキュリティ侵害が取引所やカストディ運営者に警戒を続けさせています。Bitcoin Coreの公開はカストディシステムではなくオープンソースのノードソフトウェアに関する別種のリスクですが、Bitcoin関連インフラ全般における適時のソフトウェア更新の重要性を改めて裏付けています。

特にマイニング運営者は、中危険度の2つのCVEを高危険度のものと同様に真剣に扱うべきです。Tor権限の誤設定（CVE-2025-62860）とコンパクトブロック停止攻撃（CVE-2025-62859）はいずれも本番のメインネットノードに影響し、同じリリースサイクルで修正されました。最新のサポート対象リリースを実行すれば3件すべてに同時に対処できます。

Bitcoin Coreの新たなAI発見可能バグ公開方針は、今後のパッチサイクルが修正から公表までより速く進む可能性を示唆しています。マイニング運営者やノードオペレーターにとって、これはパッチの入手可能性と脆弱性の詳細が広く知られるようになるまでの期間を短縮するものであり、迅速なアップグレードのサイクルがこれまで以上に重要になることを意味します。

編集注記：本記事は、2026年11月11日の公開前に、見出しの正確性、独自の価値、事実の一貫性、メタデータ、商業的开示および著者に関する記述についてCoinWy QCチームにより確認されました。CoinWyはリサーチ、起草、レビューにAIを使用しており、編集チームがすべての記事に責任を持ち、必要に応じて修正または取り下げを行います。

免責事項：本記事は情報提供のみを目的としたものであり、金融または投資に関する助言を構成するものではありません。暗号資産およびデジタル資産市場には重大なリスクが伴います。意思決定の前に必ずご自身で調査を行ってください。