Core Lightning, відкритий вихідний код реалізації Lightning Network, що підтримується ElementsProject Blockstream, випустив версію 26.06.7 28 серпня як аварійне безпекове оновлення. Це оновлення усуває кілька вразливостей, які були виявлені протягом приблизно 10-днівного періоду, що почався близько 13 серпня, під час масового надходження звітів у стилі CVE, згенерованих ШІ.
Команда зберігає деталі конкретної вразливості під двотижневим ембарго, надаючи операторам нод час для оновлення до того, як потенційні експлойти стануть відомі загалу. Для будь-кого, хто запускає ноду Core Lightning, повідомлення просте: оновіть зараз або піддаєтеся ризику.
Що сталося і чому це важливо
З середини серпня команда розробників Core Lightning почала отримувати велику кількість звітів про вразливості, які мали ознаки безпекового аудиту, згенерованого ШІ. Мала ядро-команда, працюючи разом із зовнішніми учасниками, підтвердила кілька позначених проблем як справжні проблеми безпеки. Цей процес підтвердження, стиснутий у близько 10 днів, завершився рішенням випустити аварійне оновлення замість очікування запланованого циклу оновлень.
Версія 26.06.7 слідує за версією 26.06.6, яка була випущена 22 липня. Проект назвав цей реліз «Quantum-Resistant Lightning Channel VII», що відповідає загальній дорожній карті реалізації. На кінець серпня офіційних CVE щодо цих конкретних проблем не було опубліковано, що відповідає підходу команди до ембарго.
Попередні версії, зокрема 26.04 і раніше, більше не підтримуються. Оператори, які використовують застарілі версії, не отримуватимуть патчі для цих або майбутніх вразливостей.
Що повинні робити оператори зараз
Команда Core Lightning рекомендує всім операторам нод якомога швидше оновитися до підписаних бінарних файлів версії 26.06.7. Для операторів, які не можуть відразу виконати повне оновлення, команда рекомендує використовувати флаг –offline, який дозволяє продовжувати основні функції моніторингу, не виставляючи ноду на ризики, пов’язані з мережею.
Двотижневий заборона на розголошення деталей вразливості означає, що час спливає. Коли ці деталі стануть загальнодоступними, будь-яка нода без оновлень стане більш очевидною мішенню. Вузли Lightning Network зберігають кошти в платіжних каналах і підтримують постійні з’єднання з одноранговими вузлами, що робить їх якісно відмінними від статичного bitcoin-гаманця, що знаходиться в холодному сховищі.
Більш широкі наслідки для інфраструктури bitcoin
На початку 2026 року Core Lightning вже виправив окремі вразливості відмови в обслуговуванні у версіях 26.04 та 26.06rc2. Вони відрізнялися від поточного пакету, але ілюструють ширший патерн: поверхня атаки реалізацій Lightning Network отримує більше уваги, частково через те, що інструменти для її аналізу значно покращилися.
Двотижневий період обмежень завершується в середині вересня. Після цього повний обсяг виправлень стане відомим, і спільнота отримає чіткіше уявлення про те, наскільки серйозними були ці проблеми.