Bitcoinプロトコルのリファレンス実装であるBitcoin Coreは、修正済みのセキュリティ脆弱性3件を開示した。その中には、Bitcoinのマイニング業務を混乱させる可能性のあった高深刻度の欠陥が含まれる。2026年11月10日に公開されたセキュリティ勧告は、ソフトウェアの旧バージョンにおけるブロック作成、取引処理、ネットワークのプライバシーに関するリスクを詳述している。

開示は、修正自体が2025年10月に提供されてから1年以上経過して行われた。脆弱性がBitcoin Coreの旧リリースに影響していたため、遅れた発表は依然として未修正のソフトウェアを実行しているマイナーやノード運用者に懸念を引き起こしている。

高深刻度のバグがマイニング業務を脅かしていた

最も深刻な問題はCVE-2025-62861として追跡され、Bitcoin Coreバージョン28.0〜28.2および29.0〜29.1に影響していた。この欠陥は、ブロックチェーンの再編成、すなわち一般にリオルグと呼ばれる、Bitcoinノードが競合するチェーン履歴に切り替える際の取引処理に関するものだった。

特定の条件下では、このバグによりメモリプール(メンプール)が不整合な状態に陥る可能性があった。この影響を受けたマイニングノードは、有効なブロックテンプレートの生成に失敗し、再起動するまで新しいブロックを作成できなくなる可能性があった。ブロックテンプレートはマイニングハードウェアが処理する入力であるため、影響を受けた運用者のハッシュレートは、ノードが復旧するまで遊休状態となっていた。

セキュリティ研究者のNiklas Goegge氏は2025年9月にこの脆弱性を報告した。開発者は2025年10月10日にリリースされたBitcoin Core 30.0でこの問題に対処した。詳細は公式開示で確認できる。

中程度の深刻度の2件の脆弱性がネットワークリスクを暴露

マイニングの欠陥に加え、Bitcoin Coreはブロック処理とTorネットワーク接続に関する中程度の深刻度の脆弱性2件を開示した。

1件目のCVE-2025-62859は、悪意あるピアが操作された取引ウィットネスデータによってブロック処理を遅延させることを可能にしていた。攻撃者は処理を最大10分間停止させ、特定のネットワーク条件下でこの妨害を繰り返す可能性があった。これはBitcoinのプロトコルが目標とする10分のブロック間隔に匹敵する時間枠である。

2件目のCVE-2025-62860は、特定のホワイトリスト設定をTor接続と組み合わせて使用しているノードに影響した。TorはBitcoin Coreがネイティブにサポートする匿名ネットワークで、ノード運用者がIPアドレスのプライバシーを維持するために一般的に使用している。この欠陥は、着信Torピアに信頼された権限を誤って付与し、サービス拒否攻撃およびプライバシー関連のリスクに対する保護を弱める可能性があった。開発者は、到達可能な数千のBitcoinメインネットノードがこのTor関連の問題に晒される設定になっていたことを認めたが、該当するオプションのホワイトリスト設定を使用していないノードは影響を受けていなかった。

開示がノードのメンテナンスの重要性を浮き彫りに

Bitcoin Coreはバージョン30.0で3件すべての脆弱性の修正をリリースし、その後追加の修正済みリリースを提供した。最後の脆弱なリリースラインは2026年10月27日にサポート終了を迎えた。

これらの勧告は、メモリ管理とノードの安定性に関する以前のセキュリティ調査結果に続くものであり、影響を受けるソフトウェアバージョンのサポートが失われるまで脆弱性の詳細を公開しないというBitcoin Coreの確立された慣行を反映している。これは、攻撃につながりうる技術的詳細が公開される前にユーザーがアップグレードする時間を確保する、一般的な協調開示のアプローチである。11月10日の勧告はそのサポート終了日の約2週間後に発表され、運用者は展開しているリリースを開示で示されたバージョン範囲と比較することで暴露度を評価できる。

最新の開示はすでに修正済みの欠陥に関するものだが、古いインストールは依然として暴露されている可能性がある。マイニング運用者およびBitcoinノード管理者は、セキュリティ修正を含むサポート対象のソフトウェアバージョンにアップグレードすることでこれらのリスクを軽減できる。CryptoMeter ioのレポートによる。