Bitcoin Core a divulgué le 10 novembre 2026 trois vulnérabilités corrigées auparavant, dont une faille liée aux autorisations Tor et à la configuration, qui, selon le projet, affectait des milliers de nœuds accessibles du réseau principal. Les problèmes — CVE-2025-62859, CVE-2025-62860 et CVE-2025-62861 — avaient tous été corrigés dans des versions publiées en octobre 2025, selon les avis de sécurité du projet.

Les divulgations décrivent des risques opérationnels liés à certaines configurations de nœuds et à certains logiciels de minage, plutôt qu’une vulnérabilité rompant le consensus. Un problème a été classé de gravité élevée, car il pouvait empêcher un nœud de minage de produire des modèles de blocs valides après certaines réorganisations de la chaîne. Les deux autres étaient des failles de gravité moyenne concernant le traitement des blocs compacts et les connexions Tor entrantes.

Un bogue de liste d’autorisation Tor affectait des milliers de nœuds accessibles

Bitcoin Core a indiqué dans son avis que CVE-2025-62860 pouvait accorder des autorisations -whitelist aux connexions Tor entrantes lorsqu’un opérateur configurait une plage d’adresses IP correspondante. Ces autorisations contournaient certaines limites contre les attaques par déni de service et certaines protections de la vie privée. Bitcoin Core a précisé que des milliers de nœuds du réseau principal accessibles étaient concernés. Le problème dépendait de cette configuration de plage d’adresses IP et ne touchait pas tous les nœuds acceptant les connexions Tor. Des correctifs ont été publiés dans les versions 28.3, 29.2 et 30.0 de Bitcoin Core.

Une faille des blocs compacts pouvait bloquer à répétition le traitement des blocs

CVE-2025-62859 permettait à un pair malveillant de bloquer le traitement des blocs en manipulant les témoins dans les blocs compacts. Dans certaines conditions, l’attaque pouvait être répétée indéfiniment, selon la divulgation technique de Bitcoin Core. Ces conditions comprenaient le contrôle par l’attaquant des trois pairs à haut débit d’un nœud, ou l’utilisation de l’option -blocksonly par ce nœud. Bitcoin Core a corrigé le problème dans les versions 29.2 et 30.0.

Un bogue d’éviction TRUC pouvait perturber les modèles de minage après des réorganisations

La seule vulnérabilité classée de gravité élevée, CVE-2025-62861, concernait la logique d’éviction des frères TRUC lors des réorganisations de la chaîne. Bitcoin Core a indiqué que ce bogue pouvait laisser le mempool d’un nœud dans un état incohérent et empêcher un nœud de minage de créer des modèles de blocs valides jusqu’à son redémarrage.

Les versions concernées étaient Bitcoin Core 28.0 à 28.2 et 29.0 à 29.1. Des correctifs ont été publiés dans les versions 28.3, 29.2 et 30.0, selon l’avis de Bitcoin Core sur CVE-2025-62861.

Contrairement au problème lié à Tor, cette faille avait une conséquence plus limitée, mais plus directe, sur les opérations de minage : après une réorganisation répondant aux conditions en cause, un nœud affecté pouvait se trouver dans l’incapacité de générer un modèle de bloc candidat valide sans redémarrage.

Les trois correctifs ont précédé les avis publics

L’avis public de Bitcoin Core est paru plus d’un an après les versions correctives d’octobre 2025. Cette divulgation tardive signifie que les utilisateurs ont pu accéder aux versions corrigées avant que le projet ne détaille les vulnérabilités et leurs conditions d’exploitation.

Dans son article, The Block a également décrit cette série comme comprenant une faille de gravité élevée perturbant le minage et deux problèmes de gravité moyenne affectant le traitement des blocs et les connexions Tor. Le média a confirmé que les correctifs précédaient les divulgations publiques.

Les versions répartissent les correctifs selon les versions : les opérateurs ayant besoin des correctifs Tor ou TRUC pouvaient utiliser les versions 28.3, 29.2 ou 30.0, tandis que la correction concernant les blocs compacts était disponible dans les versions 29.2 et 30.0. Bien que les avis situent les trois bogues dans des composants distincts, ils montrent ensemble comment les autorisations des pairs, le comportement de relais et la gestion du mempool peuvent entraîner des modes de défaillance opérationnelle différents pour les nœuds Bitcoin.

Avertissement : Cet article est fourni à titre informatif uniquement. Il ne constitue pas un conseil juridique, fiscal, en investissement, financier ou autre, et n’est pas destiné à être utilisé comme tel.