Core Lightning 26.06.7 verhelpt meerdere kwetsbaarheden terwijl technische details onder een embargo van 14 dagen blijven.

Ontwikkelaars riepen elke Core Lightning-node runner op om onmiddellijk te upgraden en niet te wachten op Docker-images.

AI-gegenereerde kwetsbaarheidsrapporten verhoogden het volume en tempo van beveiligingsmeldingen binnen open-source Bitcoin-projecten.

Ondertekende binaries stellen operators in staat om te upgraden en releases te verifiëren voordat volledige details over kwetsbaarheden publiek beschikbaar worden.

Core Lightning, een van de drie belangrijkste implementaties van het Lightning Network naast LND en Eclair, heeft versie 26.06.7 uitgebracht en roept elke node runner op om onmiddellijk te upgraden. De update verhelpt meerdere kwetsbaarheden die in de afgelopen drie weken zijn gemeld.

Ontwikkelaars houden technische details en broncode 14 dagen privé. Het embargo is bedoeld om te voorkomen dat aanvallers ongepatchte nodes misbruiken voordat operators hun upgrades hebben voltooid. Het achterhouden van details totdat patches breed zijn geïnstalleerd is een langjarige praktijk van gecoördineerde openbaarmaking in open-sourcebeveiliging.

Core Lightning-beveiligingsupdate start tweewekelijks embargo

De release komt op een moment dat het aantal AI-gegenereerde kwetsbaarheidsrapporten voor open-source Bitcoin-projecten toeneemt.

Volgens Core Lightning hebben steeds capabelere AI-modellen zowel het volume als het tempo van beveiligingsrapporten verhoogd. Die trend zorgt ook voor extra reviewwerk, omdat elke geautomatiseerde bevinding nog steeds door een mens moet worden gevalideerd voordat deze wordt bevestigd of verworpen.

Het ontwikkelingsteam ontving en beoordeelde meerdere kwetsbaarheidsmeldingen uit verschillende bronnen. Vervolgens losten ontwikkelaars de problemen op voordat de noodpatchrelease werd samengesteld.

Core Lightning zei dat het technische details achterhield omdat aanvallers de fixes zouden kunnen reverse-engineeren. Dat proces zou node-operators kunnen blootstellen die hun upgrades uitstellen.

Het embargo duurt 14 dagen vanaf de release. Daarna publiceren ontwikkelaars de volledige details over de kwetsbaarheden en de broncode.

Core Lightning waarschuwde operators eerder al voor de aankomende beveiligingsrelease. Blockonomi meldde dat ontwikkelaars binnen een periode van 10 dagen meerdere AI-gegenereerde rapporten hadden ontvangen.

Het eerdere rapport zei ook dat ontwikkelaars van plan waren ondertekende binaries te verspreiden voordat details op bronniveau zouden worden gepubliceerd. Er waren geen bevestigde fondsenverliezen of actieve misbruikpogingen gemeld.

De nieuwste release brengt dat plan nu in de praktijk. Node runners kunnen de binaries gebruiken terwijl ontwikkelaars de tijdelijke openbaarmakingsbeperkingen handhaven.

Core Lightning 26.06.7 is uitgebracht en aanbevolen voor elke node runner. Het verhelpt kwetsbaarheden die in de afgelopen drie weken zijn gemeld, tijdens een sterke toename van AI-gegenereerde rapporten binnen open source Bitcoin. Details blijven twee weken onder embargo en worden daarna allemaal gepubliceerd.… — Core_LN (@Core_LN) August 28, 2026

Upgrade-instructies voor Core Lightning 26.06.7 richten zich op node runners

Core Lightning heeft alle node runners gezegd de upgrade niet uit te stellen. Het team waarschuwde gebruikers expliciet om niet te wachten op Docker-images.

Docker-images waren niet beschikbaar toen de release werd gelanceerd. In plaats daarvan verwezen ontwikkelaars operators naar de beschikbare tarballs voor onmiddellijke upgrades.

Het upgradeproces vereist het downloaden en verifiëren van de juiste platformtarball. Daarna pakken operators deze uit over hun bestaande installatie en herstarten ze lightningd, de Core Lightning-daemon. Omdat Lightning-nodes bitcoin aanhouden in open payment channels, verkleint tijdig patchen de blootstellingsperiode voor operators die vertragen.

Core Lightning zei dat de update geen handmatige database-migratie vereist. De software verwerkt de vereiste migratiestappen automatisch tijdens het opstarten.

De release bevat ook ondertekende manifests voor binairverificatie. Operators kunnen de integriteit van bestanden controleren via checksums en handtekeningen verifiëren met GPG, waarmee wordt bevestigd dat de bestanden overeenkomen met wat de maintainers hebben ondertekend.

Het project vermeldde afzonderlijke ondertekende bestanden voor amd64- en arm64-builds. Maintainers gaven ondertekeningsvingerafdrukken om gebruikers te helpen authentieke releases te verifiëren.

De beveiligingsupdate volgt op een bredere periode van verandering voor Bitcoin’s Lightning Network. Blockonomi meldde dat de Lightning-capaciteit was gedaald tot 3,998 BTC vanaf 5,891 BTC in december 2025.

Dat betekende een daling van 32.1% in die periode. Ondertussen was Core Lightning’s laatste stabiele publieke release vóór deze update versie 26.06.6.

Volgens het eerdere rapport blijft versie 26.09 gepland voor september. Voor nu blijft versie 26.06.7 de onmiddellijke prioriteit voor Core Lightning-nodeoperators.