3項比特幣核心漏洞修補約13個月後揭露

比特幣核心（Bitcoin Core）3項安全漏洞在修補版本發布約13個月後，於2026年11月10日公開。其中一項可能阻止部分挖礦節點產生區塊模板，另外兩項在特定設定下可能削弱Tor連線保護或延遲區塊處理。

比特幣核心將漏洞分別列為CVE-2025-62861、CVE-2025-62860與CVE-2025-62859。CVE-2025-62861評為「高」風險，另外兩項為「中」風險。

三項漏洞均已在2025年10月發布的30.0與29.2版本中修補。30.0於10月10日發布，29.2則於10月14日發布；約13個月指修補版本發布至漏洞細節公開之間的時間。

三項漏洞的通報時間不同。CVE-2025-62859於2025年4月28日通報，至公開約經過19個月；CVE-2025-62860於同年9月12日通報，CVE-2025-62861則於9月26日通報。

比特幣核心的安全公告政策規定，中度與高度風險漏洞的細節，會在最後一個受影響版本停止支援兩週後公開。比特幣核心32.1版本發布說明指出，29.x及更早版本已停止支援，不再收到更新；說明也提到，30.0修補的三項中度與高度風險漏洞將於兩週後公布細節。

29.x停止支援的日期是2026年10月27日，三項公告則於兩週後的11月10日發布。此次公開時程依照先發布修補版本、待舊版本停止支援後再公開細節的政策執行。

風險最高的CVE-2025-62861與鏈重組有關。鏈重組是節點捨棄部分既有區塊，改採另一條有效區塊鏈的程序。過程中，交易被放回未確認交易池時，移除規則可能套用錯誤，導致池內交易的依賴關係失去一致性。

第三版交易（TRUC）的同級交易移除規則也被套用在交易恢復流程，可能使依賴已移除交易的後續交易留在池中。受影響的挖礦節點可能因此無法通過區塊模板有效性檢查，直到重新啟動前都無法產生新的模板。比特幣核心指出，問題出在交易傳播政策，不代表共識規則本身有錯。

CVE-2025-62860的觸發條件，是營運者使用非預設的 -whitelist 設定，且指定的IP範圍包含Tor代理位址。這可能使外部傳入的Tor連線被視為可信連線，削弱阻擋阻斷服務攻擊的防護及部分隱私措施。

比特幣核心表示，使用該設定且可從外部連線的主網節點有數千個；未使用非標準 -whitelist 設定的節點不受影響。

CVE-2025-62859發生在節省傳輸量的壓縮區塊還原後，節點檢查見證資料是否遭到竄改的過程。若檢查失敗，節點可能向同一個連線對象重新索取完整區塊，並等待最長10分鐘。

若攻擊者控制受害節點全部3個高頻寬連線，或節點使用 -blocksonly 設定，延遲就可能重複發生。比特幣核心將此漏洞列為中度風險。

各版本的修補範圍不盡相同。28.3修補了Tor連線與挖礦節點相關問題，但未涵蓋全部三項漏洞；三項漏洞均已修補的版本為29.2與30.0。29.x及更早版本目前已停止支援。

TokenPost先前曾報導這三項可能影響挖礦節點區塊模板與Tor連線的漏洞，說明其技術影響及修補範圍。這次公開時程則顯示，修補版本發布與漏洞細節揭露分為不同階段，公開時間依照停止支援政策安排。