Core Lightning 26.06.7は複数の脆弱性を修正するが、技術的詳細は14日間のエンバーゴ(情報公開保留)下に置かれている。

開発者はすべてのCore Lightningノード運用者に対し、直ちにアップグレードするよう求め、Dockerイメージの提供を待つことも避けるよう呼びかけた。

AI生成の脆弱性報告により、オープンソースのBitcoinプロジェクト全体でセキュリティ上の発見の量とペースが増加している。

署名済みバイナリにより、運用者は脆弱性の完全な詳細が公開される前にリリースをアップグレードし検証できる。

LNDやEclairと並ぶ3つの主要なLightning Network実装の一つであるCore Lightningは、バージョン26.06.7をリリースし、すべてのノード運用者に直ちにアップグレードするよう促している。今回のアップデートは、過去3週間に報告された複数の脆弱性を修正する。

開発者は技術的詳細とソースコードを14日間非公開にする。このエンバーゴは、運用者がアップグレードを完了する前に攻撃者が未修正のノードを悪用するのを防ぐことを目的としている。パッチが広く導入されるまで詳細を公表しないことは、オープンソースセキュリティにおける調整型情報開示の確立された慣行である。

Core Lightningのセキュリティアップデート、2週間のエンバーゴを開始

今回のリリースは、オープンソースのBitcoinプロジェクトを対象としたAI生成の脆弱性報告が増加する中で行われた。

Core Lightningによると、能力が向上し続けるAIモデルにより、セキュリティ報告の量とペースがともに増加している。この傾向はレビュー負担も増やしており、自動化された発見はすべて、確認または棄却される前に人間による検証を必要とするためである。

開発チームは複数のソースから寄せられた複数の脆弱性報告を受け取り、トリアージを行った。その後、開発者は緊急ポイントリリースをビルドする前にこれらの問題を解決した。

Core Lightningは、攻撃者が修正内容をリバースエンジニアリングする可能性があるため技術的詳細を公表しなかったと説明した。そのプロセスにより、アップグレードを遅らせるノード運用者が危険にさらされる可能性があるという。

エンバーゴはリリースから14日間続き、その後開発者は脆弱性の完全な詳細とソースコードを公開する。

Core Lightningは以前、間もなく予定されているセキュリティリリースについて運用者に注意を呼びかけていた。Blockonomiの報道によると、開発者は10日間の期間内に複数のAI生成報告を受領していた。

先の報道では、開発者がソースレベルの詳細を公開する前に署名済みバイナリを配布する計画だったことも伝えられていた。当時、確認済みの資金損失や活発な悪用の報告はなかった。

最新のリリースにより、この計画が実行に移された。開発者が一時的な情報公開制限を維持している間、ノード運用者はバイナリにアクセスできる。

Core Lightning 26.06.7 is out and recommended for every node runner. It fixes vulnerabilities reported over the past three weeks, during a sharp rise in AI-generated reports across open source Bitcoin. Details stay under embargo for two weeks, then all published.… — Core Lightning (@Core_LN) August 28, 2026

Core Lightning 26.06.7のアップグレード手順、ノード運用者が対象

Core Lightningは、すべてのノード運用者に対してアップグレードを先延ばしにしないよう伝えた。チームは特に、Dockerイメージを待つべきではないとユーザーに警告した。

リリース時点でDockerイメージは利用できなかった。開発者は代わりに、即時アップグレードのために利用可能なtarballを使用するよう運用者に指示した。

アップグレードの手順では、該当するプラットフォームのtarballをダウンロードして検証する必要がある。その後、運用者はそれを既存のインストール環境に上書きで展開し、Core Lightningのデーモンであるlightningdを再起動する。Lightningノードはオープンな支払いチャネル内にBitcoinを保持しているため、迅速なパッチ適用は、アップグレードを遅らせる運用者にとっての露出期間を限定する。

Core Lightningによると、このアップデートでは手動でのデータベース移行は不要である。ソフトウェアが必要な移行手順を起動時に自動的に処理する。

このリリースには、バイナリ検証用の署名済みマニフェストも含まれている。運用者はチェックサムでファイルの整合性を確認し、GPGで署名を検証することで、ファイルがメンテナーが署名したものと一致することを確かめられる。

プロジェクトはamd64ビルドとarm64ビルドそれぞれの署名済みファイルを公開している。メンテナーは署名フィンガープリントを提供し、ユーザーが正規のリリースを検証できるよう支援している。

このセキュリティアップデートは、BitcoinのLightning Networkにとって大きな変化が続く時期に訪れたものだ。Blockonomiの報道によると、Lightningのキャパシティは2025年12月の5,891 BTCから3,998 BTCへと低下していた。

これは当該期間における32.1%の減少にあたる。一方、このアップデート前のCore Lightningの最新の安定版公開リリースはバージョン26.06.6だった。

先の報道によると、バージョン26.09は引き続き9月にリリースが予定されている。現時点では、バージョン26.06.7がCore Lightningノード運用者にとっての最優先事項である。