L’IA peut désormais détecter les failles dans le code de Bitcoin, et cela a déjà contraint Bitcoin Core à changer ses règles.
Le 28 octobre, Bitcoin Core a divulgué trois failles d’un coup : deux de gravité moyenne et une de faible gravité. Elles ont toutes été détectées par Project Loupe, un outil d’analyse par IA. La plus importante est la CVE-2026-117350 : un nœud malveillant peut envoyer une série de données TCP urgentes pour contourner la limite de la file d’attente et saturer la mémoire du nœud ciblé. Les nœuds sous Windows, macOS et BSD peuvent alors planter, tandis que Linux n’est pas concerné. La deuxième, CVE-2026-117349, est plus sournoise : un nœud utilisant l’ancien protocole fait semblant d’être bloqué et ne répond pas ; sa mémoire augmente discrètement de 2 à 5 Mo par heure, jusqu’à finir par le mettre hors service. La troisième est un débordement du fichier d’annulation dans des conditions de réorganisation extrêmes. Elle est classée comme étant de faible gravité.
La bonne nouvelle, c’est qu’aucune exploitation de ces trois failles n’a été signalée. Les correctifs sont déjà disponibles dans quatre versions : 29.5, 30.4, 31.2 et 32.1, publiées les 27 et 28 octobre. Si vous faites tourner un nœud, il suffit de le mettre à jour. La version 32.0 a été sautée à cause de cette affaire et n’a pas été publiée officiellement.
Ce qui mérite vraiment réflexion, c’est le changement de règle : auparavant, les failles de gravité moyenne ou élevée étaient gardées secrètes pendant environ un an, jusqu’à ce que les anciennes versions soient retirées. Le 22 octobre, Core a adopté une nouvelle politique : les failles que l’IA peut repérer immédiatement ne sont plus gardées secrètes ; elles sont divulguées dès que le correctif est prêt. En clair, l’IA a rendu la détection des failles moins coûteuse, et les garder secrètes n’a plus de sens : les attaquants peuvent utiliser les mêmes outils pour les découvrir.
Je préfère voir cela comme une bonne nouvelle plutôt qu’une mauvaise : ces failles touchent à la disponibilité des nœuds, sans pouvoir modifier le consensus de Bitcoin ni les clés privées. Plus vite elles sont divulguées et les mises à jour installées, plus le réseau devient robuste. $BTC vaut actuellement 75 986 dollars, en baisse de 4,55 % sur 24 heures ; cela s’explique par le recul de l’appétit pour le risque sur les marchés américains, pas par ces trois failles. Si vous faites tourner un nœud, prenez simplement un moment pour le mettre à jour ces jours-ci.
Le 28 octobre, Bitcoin Core a divulgué trois failles d’un coup : deux de gravité moyenne et une de faible gravité. Elles ont toutes été détectées par Project Loupe, un outil d’analyse par IA. La plus importante est la CVE-2026-117350 : un nœud malveillant peut envoyer une série de données TCP urgentes pour contourner la limite de la file d’attente et saturer la mémoire du nœud ciblé. Les nœuds sous Windows, macOS et BSD peuvent alors planter, tandis que Linux n’est pas concerné. La deuxième, CVE-2026-117349, est plus sournoise : un nœud utilisant l’ancien protocole fait semblant d’être bloqué et ne répond pas ; sa mémoire augmente discrètement de 2 à 5 Mo par heure, jusqu’à finir par le mettre hors service. La troisième est un débordement du fichier d’annulation dans des conditions de réorganisation extrêmes. Elle est classée comme étant de faible gravité.
La bonne nouvelle, c’est qu’aucune exploitation de ces trois failles n’a été signalée. Les correctifs sont déjà disponibles dans quatre versions : 29.5, 30.4, 31.2 et 32.1, publiées les 27 et 28 octobre. Si vous faites tourner un nœud, il suffit de le mettre à jour. La version 32.0 a été sautée à cause de cette affaire et n’a pas été publiée officiellement.
Ce qui mérite vraiment réflexion, c’est le changement de règle : auparavant, les failles de gravité moyenne ou élevée étaient gardées secrètes pendant environ un an, jusqu’à ce que les anciennes versions soient retirées. Le 22 octobre, Core a adopté une nouvelle politique : les failles que l’IA peut repérer immédiatement ne sont plus gardées secrètes ; elles sont divulguées dès que le correctif est prêt. En clair, l’IA a rendu la détection des failles moins coûteuse, et les garder secrètes n’a plus de sens : les attaquants peuvent utiliser les mêmes outils pour les découvrir.
Je préfère voir cela comme une bonne nouvelle plutôt qu’une mauvaise : ces failles touchent à la disponibilité des nœuds, sans pouvoir modifier le consensus de Bitcoin ni les clés privées. Plus vite elles sont divulguées et les mises à jour installées, plus le réseau devient robuste. $BTC vaut actuellement 75 986 dollars, en baisse de 4,55 % sur 24 heures ; cela s’explique par le recul de l’appétit pour le risque sur les marchés américains, pas par ces trois failles. Si vous faites tourner un nœud, prenez simplement un moment pour le mettre à jour ces jours-ci.