تحديث أمان Bitcoin Lightning يحظر CVE-2026-98432، بينما يظل عيب نواة لينكس موجودًا

أصدر LND الإصدارين v0.20.7-beta وv0.21.6-beta في 30 أكتوبر مع تعطيل مستمعي MPTCP افتراضيًا. يمنع هذا التغيير مسار الهجوم المُثبت CVE-2026-98432 عبر تلك المستمعين، لكنه لا يصلح ثغرة نواة لينكس ولا يحمي الخدمات الأخرى. وبالتالي، لا يزال مشغلو Lightning الذين يستخدمون نوى متأثرة وغير مُصَلَحة عرضة للهجوم حتى بعد تحديث LND، وهو البرنامج الذي يعمل على عقد الدفع الخاصة بهم. ويمكن لخدمة MPTCP معرضة أخرى على نفس الجهاز أن تبقي مسار الهجوم المُثبت مفتوحًا.

تتضمن الثغرة استخدامًا بعد التحرير (use-after-free) في معالجة الذاكرة لاتصالات Linux IPv4 TCP، ويمكنها السماح لمهاجم بتنفيذ كود على مضيف متأثر. وتصنف أوبونتو العيب على أنه حرج، بدرجة CVSS 3.1 قدرها 9.8. وتشير ملاحظات مشغّل LND إلى أن إصدارات Go بدءًا من 1.24 تمكّن مستمعي MPTCP على Linux افتراضيًا. وتوضح الملاحظات أن LND 0.21.x عرضت بالتالي MPTCP على منافذ الأقران وgRPC وREST المستخدمة لاتصالات العقد وواجهات التطبيق.

يُشير إشعار فريق أمان Go إلى أن الاستغلال المُظهر يتطلب مستمع MPTCP مكشوفًا، بينما يمتلك العيب الكامن في النواة نطاقًا أوسع. يُشير الإشعار إلى أن هجمات مشابهة قد تكون ممكنة دون وجود مستمعين MPTCP، لكنه لا يُثبت استغلالًا مُظهرًا ضد الأنظمة التي لا تمتلك تلك المستمعين. تحذر Go من أن تعطيل MPTCP بشكل منفصل في كل برنامج هو أمر هش، لأن وجود مستمع واحد مكشوف فقط يحافظ على المسار المُظهر. كما تحذر Go من أن إعدادات المقبس الصريحة يمكن أن تتجاوز الإعدادات الافتراضية. توثق الإشعارات استغلالًا مُظهرًا على لينكس، وليس دليلًا على هجمات ضد عقد LND أو سرقة بيتكوين. تُعالج التصحيحات المُبلغ عنها لـ Core Lightning في 6 نوفمبر ثغرات منفصلة في القنوات والأوامر البعيدة.

ما زال متعقب Ubuntu، الذي تم مراجعته في 9 نوفمبر بعد تحديث في 7 نوفمبر، يُصنف حزمة Linux القياسية لـ Ubuntu 24.04 LTS على أنها عرضة للخطر. وذكر المتعقب أن العمل جارٍ على تلك الحزمة في الإصدار 6.8.0-149.149. كما ظل إدخال Ubuntu 22.04 LTS عرضة للخطر، مع وجود عمل جارٍ في الإصدار 5.15.0-203.213. وقالت توصية Canonical في 2 نوفمبر إن التصحيحات متاحة من خلال مستودع -proposed للمستخدمين الذين يخضعون لاختبارات قبول النواة بينما تستمر اختبارات التأهيل.

قالت نشرة عمل Ubuntu للفترة من 1 إلى 7 نوفمبر إن بعض الإصدارات، بما في ذلك 24.04، تقدمت إلى -updates. ومع ذلك، لم تحدد النشرة كل متغير نواة. لذلك، يجب على المشغلين التحقق من التحديث المتاح لحزمة النواة الدقيقة بدلاً من الاعتماد فقط على اسم إصدار Ubuntu. يُشير المتعقب إلى أن حزمة linux القياسية لـ Ubuntu 26.10 تم إصلاحها في الإصدار 7.3.0-10.10. ولديها متغيرات نواة مختلفة مثل Cloud وhardware-enablement وغيرها، وكل منها له إدخال فردي في المتعقب، لذا فإن حالة إصلاح حزمة واحدة لا تحدد حالة حزمة أخرى.

يُوصي مُحافظو LND بتحديث LND، وتعطيل MPTCP على مستوى المضيف، وتثبيت نواة مُصلحة فور توفرها من قبل التوزيعة. وحدد المُحافظون الأمر sudo sysctl -w net.mptcp.enabled=0، وأوصوا بتكوين دائم للحفاظ على الإعداد. يعمل هذا الإعداد بشكل منفصل داخل كل مساحة شبكة، لذا يجب على مشغلي Docker أيضًا فحص تكوين شبكة الحاوية. لا يُستبدل هذا الفحص بتغيير على مستوى المضيف وحده. يمكن للمشغلين الذين لا يستطيعون تحديث LND فورًا تشغيل الملف الثنائي الحالي باستخدام GODEBUG=multipathtcp=0 لتعطيل مستمعي MPTCP الافتراضيين في Go. وتحذّر المُحافظون المشغلين من استعادة هذا الافتراضي قبل إصلاح النواة.

توصي Canonical باستخدام الأمر uname -r لتحديد النواة التي تعمل حاليًا. تتطلب Canonical إعادة تشغيل بعد تثبيت تحديث أمان النواة. إن تحديث LND وتثبيت حزمة النواة هما خطوتان منفصلتان، ولا تكتمل عملية إصلاح نظام التشغيل إلا عندما تكون النواة المُصلحة قيد التشغيل.