Core Lightning heeft Bitcoin Lightning node-operators dringend geadviseerd te upgraden naar versie 26.06.7 nadat ontwikkelaars meerdere beveiligingskwetsbaarheden in eerdere releases van de open-source betalingssoftware hebben bevestigd. Het advies volgde op een toename van door AI gegenereerde beveiligingsrapporten die hielpen de zwakke plekken aan het licht te brengen.

Versie 26.06.7 werd op 28 augustus uitgebracht, waarbij de details van de kwetsbaarheden aanvankelijk werden achtergehouden onder een twee weken durende embargo. Die vertraging gaf operators een venster om de fixes te installeren voordat aanvallers de wijzigingen konden bestuderen — een patroon van gecoördineerde openbaarmaking dat gebruikelijk is in open-source beveiligingswerk, waarbij patches eerst worden uitgerold en de technische details openbaar worden zodra het venster sluit. Volgens CoinDesk hadden ontwikkelaars geen bewijs gevonden dat de kwetsbaarheden actief werden misbruikt ten tijde van de waarschuwing.

Waarom de update belangrijk is

Core Lightning, algemeen bekend als CLN, stelt operators in staat om Bitcoin-betalingen te verzenden, te ontvangen en te routeren via het Lightning Network, een tweede laag waarin node-software betaalkanalen beheert en het huidige saldo van elk kanaal bijhoudt. Een gecompromitteerde node kan fondsen in Lightning-betaalkanalen in gevaar brengen.

Voor operators die niet onmiddellijk kunnen upgraden, raadden ontwikkelaars aan om CLN te herstarten met de –offline optie in plaats van de machine uit te schakelen. De offline modus blokkeert de communicatie met andere Lightning nodes, terwijl de software de Bitcoin-blockchain blijft monitoren.

Het onderscheid is belangrijk: een actieve node kan bepaalde pogingen om kanalen te sluiten met verouderde saldi detecteren, terwijl een volledig uitgeschakelde machine dergelijke bescherming niet biedt. Het project heeft ook de ondersteuning voor alle releases vóór 26.06.7 beëindigd, waardoor de upgrade de centrale herstelstap is voor getroffen operators.

Docker-gebru krijgen een extra controle

Tijdens de eerste uitrol ontstond een afzonderlijk probleem voor operators die Docker gebruiken. Sommige Docker-images die tussen 28 augustus en 1 september werden gepubliceerd, gaven versie 26.06.7 weer maar bevatten niet de volledige beveiligingsfixes. Core Lightning heeft de getroffen images later vernieuwd, en operators die ze tijdens de getroffen periode hebben opgehaald, moeten hun image digest verifiëren en de gecorrigeerde versie verkrijgen. Omdat een digest een op inhoud gebaseerde identifier is die gekoppeld is aan de exacte inhoud van een image, kan het controleren ervan de gecorrigeerde rebuild onderscheiden van de onvolledige, zelfs wanneer beide hetzelfde versienummer weergeven.

Deze affiche onderstreept een bredere beveiligingsuitdaging voor Bitcoin-infrastructuur: AI-tools ontdekken steeds vaker kwetsbaarheden in open-sourceprojecten, wat het beveiligingsonderzoek versnelt en tegelijkertijd de druk op maintainers vergroot om snel te reageren. Voor Lightning-operators blijft de directe prioriteit het draaien van een geverifieerde, volledig gepatchte release in plaats van te vertrouwen op het versienummer dat door de software wordt weergegeven.

Bron: CryptoMeter io