AIは今やビットコインのコードの脆弱性まで見つけられるようになり、その結果、Bitcoin Coreはルールの変更を迫られました。
10月28日、Bitcoin Coreは脆弱性を3件まとめて公表しました。中危険度が2件、低危険度が1件で、いずれもAIスキャンツールのProject Loupeが発見したものです。最も深刻なのはCVE-2026-117350です。悪意あるノードがTCPの緊急データを連続して送信すると、キューの上限を回避して標的ノードのメモリを使い果たさせることができます。Windows、macOS、BSDのノードはクラッシュしますが、Linuxは影響を受けません。2件目のCVE-2026-117349はさらに厄介です。旧プロトコルのノードが応答を停止したように装うと、メモリ使用量が1時間あたり2〜5MBずつ気づかれないまま増え、ノードをじわじわ停止させます。3件目は、極端なチェーン再編成時に取り消しファイルがあふれる脆弱性で、危険度は低と評価されました。
幸い、3件とも悪用されたという報告はありません。修正パッチはすでに公開されており、29.5、30.4、31.2、32.1の4つのバージョンが、10月27日と28日の2日間でリリースされました。ノードを運用している人はアップグレードすれば大丈夫です。バージョン32.0はこの件でそのまま飛ばされ、正式リリースされませんでした。
本当に考えるべきなのは、ルールが変わったことです。以前は中〜高危険度の脆弱性は、旧バージョンのサポート終了を待つため、1年ほど公表を控えるのが通例でした。ところが10月22日、Coreは新たな方針を採用し、AIがすぐに見つけられる脆弱性は隠さず、修正したらすぐ公表することにしました。要するに、AIによって脆弱性を見つけるコストが下がり、隠しておく意味もなくなったということです。攻撃者も同じツールで見つけられるのですから。
私はこの件を悪材料ではなく、むしろ好材料と見ています。脆弱性はノードの可用性に関する問題で、ビットコインのコンセンサスや秘密鍵には影響しません。早く公表し、早くアップグレードするほど、ネットワークはむしろ強固になります。$BTC は現在75986ドルで、24時間で4.55%下落していますが、これは米国株のリスク選好が後退した影響であり、この3件の脆弱性のせいではありません。ノードを運用している皆さんは、この2日ほどのうちに時間を見つけてアップグレードすれば大丈夫です。
10月28日、Bitcoin Coreは脆弱性を3件まとめて公表しました。中危険度が2件、低危険度が1件で、いずれもAIスキャンツールのProject Loupeが発見したものです。最も深刻なのはCVE-2026-117350です。悪意あるノードがTCPの緊急データを連続して送信すると、キューの上限を回避して標的ノードのメモリを使い果たさせることができます。Windows、macOS、BSDのノードはクラッシュしますが、Linuxは影響を受けません。2件目のCVE-2026-117349はさらに厄介です。旧プロトコルのノードが応答を停止したように装うと、メモリ使用量が1時間あたり2〜5MBずつ気づかれないまま増え、ノードをじわじわ停止させます。3件目は、極端なチェーン再編成時に取り消しファイルがあふれる脆弱性で、危険度は低と評価されました。
幸い、3件とも悪用されたという報告はありません。修正パッチはすでに公開されており、29.5、30.4、31.2、32.1の4つのバージョンが、10月27日と28日の2日間でリリースされました。ノードを運用している人はアップグレードすれば大丈夫です。バージョン32.0はこの件でそのまま飛ばされ、正式リリースされませんでした。
本当に考えるべきなのは、ルールが変わったことです。以前は中〜高危険度の脆弱性は、旧バージョンのサポート終了を待つため、1年ほど公表を控えるのが通例でした。ところが10月22日、Coreは新たな方針を採用し、AIがすぐに見つけられる脆弱性は隠さず、修正したらすぐ公表することにしました。要するに、AIによって脆弱性を見つけるコストが下がり、隠しておく意味もなくなったということです。攻撃者も同じツールで見つけられるのですから。
私はこの件を悪材料ではなく、むしろ好材料と見ています。脆弱性はノードの可用性に関する問題で、ビットコインのコンセンサスや秘密鍵には影響しません。早く公表し、早くアップグレードするほど、ネットワークはむしろ強固になります。$BTC は現在75986ドルで、24時間で4.55%下落していますが、これは米国株のリスク選好が後退した影響であり、この3件の脆弱性のせいではありません。ノードを運用している皆さんは、この2日ほどのうちに時間を見つけてアップグレードすれば大丈夫です。