Core Lightning 26.06.7 修复了多项漏洞,同时技术细节仍处于为期 14 天的保密期。

开发者敦促每一位 Core Lightning 节点运营者立即升级,不要等待 Docker 镜像。

AI 生成的漏洞报告提高了开源比特币项目安全发现的数量和速度。

签名二进制文件使运营者能够在完整漏洞细节公开之前完成升级并验证版本。

Core Lightning 是与 LND 和 Eclair 并列的三大闪电网络主要实现之一,现已发布 26.06.7 版本,并敦促每一位节点运营者立即升级。此次更新修复了过去三周内报告的多项漏洞。

开发者将在 14 天内对技术细节和源代码保密。该保密期旨在防止攻击者在运营者完成升级之前利用未修补的节点。在补丁被广泛安装之前暂不公布细节,是开源安全领域长期沿用的协同披露惯例。

Core Lightning 安全更新启动为期两周的保密期

此次发布正值针对开源比特币项目的 AI 生成漏洞报告增多之际。

据 Core Lightning 介绍,能力日益增强的 AI 模型提高了安全报告的数量和速度。这一趋势也加重了审核负担,因为每一项自动化发现仍须经过人工验证才能被确认或排除。

开发团队收到并筛选了来自多个来源的多份漏洞报告。开发者随后解决了这些问题,并编译了这次紧急补丁版本。

Core Lightning 表示,之所以暂不公布技术细节,是因为攻击者可能对修复内容进行逆向工程。这一过程可能使推迟升级的节点运营者暴露于风险之中。

保密期自发布之日起持续 14 天。此后,开发者将公布完整的漏洞细节和源代码。

Core Lightning 此前曾就即将发布的安全版本向运营者发出警告。据 Blockonomi 报道,开发者曾在 10 天内收到多份 AI 生成的报告。

早前报道还称,开发者计划在公布源码级细节之前分发签名二进制文件。当时尚未有经确认的资金损失或主动利用的报告。

最新版本现已将这一计划付诸实施。节点运营者可以在开发者维持临时披露限制的同时获取这些二进制文件。

Core Lightning 26.06.7 is out and recommended for every node runner. It fixes vulnerabilities reported over the past three weeks, during a sharp rise in AI-generated reports across open source Bitcoin. Details stay under embargo for two weeks, then all published.… — Core Lightning (@Core_LN) August 28, 2026

Core Lightning 26.06.7 升级指南面向节点运营者

Core Lightning 已告知所有节点运营者不要推迟升级。团队特别提醒用户不要等待 Docker 镜像。

版本发布时 Docker 镜像尚不可用。开发者因此引导运营者使用现有的 tarball 压缩包立即升级。

升级过程需要下载并验证对应平台的 tarball。随后,运营者将其解压并覆盖现有安装,再重启 Core Lightning 守护进程 lightningd。由于闪电网络节点在开放的支付通道中持有比特币,及时修补可缩短拖延升级的运营者的风险暴露窗口。

Core Lightning 表示,此次更新无需手动进行数据库迁移。软件会在启动时自动完成所需的迁移步骤。

该版本还包括用于二进制文件验证的签名清单。运营者可通过校验和检查文件完整性,并使用 GPG 验证签名,以确认文件与维护者所签名的内容一致。

该项目为 amd64 和 arm64 构建分别列出了各自的签名文件。维护者提供了签名指纹,帮助用户验证正版发布。

此次安全更新之前,比特币闪电网络正经历一段更广泛的变动期。据 Blockonomi 报道,闪电网络容量已从 2025 年 12 月的 5,891 BTC 降至 3,998 BTC。

这相当于该期间下降了 32.1%。与此同时,Core Lightning 在此次更新之前的最新稳定公开版本为 26.06.6。

据早前报道,26.09 版本仍定于 9 月发布。目前,26.06.7 版本仍是 Core Lightning 节点运营者的当务之急。