Bitcoin Core divulgue une faille de blocage sur les blocs compacts

Un pair malveillant pouvait bloquer le traitement des blocs

Le projet Bitcoin Core a publié le 10 novembre 2026 la divulgation de la vulnérabilité CVE-2025-62859, intitulée en anglais « Block processing stall via witness malleation » (blocage du traitement des blocs par altération du témoin). La faille concerne les versions du logiciel de nœud antérieures à 29.2 et 30.0.

Selon cette divulgation, un pair malveillant peut, sous certaines conditions, interrompre le traitement des blocs par un nœud Bitcoin Core. L'attaque exploite les blocs compacts, un mode de transmission des blocs entre pairs, et la malléabilité du témoin (« witness », la partie des transactions qui porte les données de signature).

Bitcoin Core range ce problème dans la catégorie de gravité moyenne (« Medium severity »). La divulgation ne dit pas si la faille a été exploitée en conditions réelles.

Le contrôle du témoin intervenait après l'effacement de l'état de téléchargement

D'après Bitcoin Core, les versions affectées supprimaient l'état de téléchargement d'un bloc compact juste après sa reconstruction, avant de contrôler une éventuelle altération du témoin. Si ce contrôle échouait, le nœud redemandait le bloc au même pair par une requête GETDATA, avec un délai d'attente de 10 minutes, selon la divulgation de novembre 2026.

Pour exploiter ce défaut, le pair malveillant devait être le premier à annoncer le bloc compact à sa victime. La divulgation de novembre 2026 indique que le blocage pouvait se répéter sans limite dans deux cas : si l'attaquant contrôlait les 3 pairs à haut débit de la victime, ou si la victime faisait tourner son nœud avec l'option -blocksonly.

La branche vulnérable 29.x a atteint sa fin de vie avant la divulgation

Eugene Siegel a découvert la faille et l'a signalée de manière responsable à la liste de sécurité de Bitcoin Core. Gregory Sanders a ensuite ouvert la demande de modification (« pull request ») #32646 destinée à la corriger. Le calendrier joint à la divulgation retrace les étapes suivantes.

Donnée	Valeur	Date	Source
Signalement à la liste de sécurité	Eugene Siegel	28 avril 2025	Bitcoin Core
Ouverture du correctif	PR #32646	30 mai 2025	Bitcoin Core
Fusion du correctif	PR #32646	30 juin 2025	Bitcoin Core
Rétroportage sur la version 29	PR #32646	12 septembre 2025	Bitcoin Core
Version corrigée publiée	30.0	10 octobre 2025	Bitcoin Core
Version corrigée publiée	29.2	14 octobre 2025	Bitcoin Core
Fin de vie de la dernière version vulnérable	29.x	27 octobre 2026	Bitcoin Core

Selon ce calendrier publié par Bitcoin Core, la dernière version vulnérable, désignée 29.x, est arrivée en fin de vie le 27 octobre 2026, soit avant la publication des détails techniques. La divulgation n'annonce pas d'autre étape.

Questions fréquentes

Quelles versions de Bitcoin Core sont touchées par cette faille ?

Selon la divulgation publiée par Bitcoin Core le 10 novembre 2026, la vulnérabilité concerne les versions du logiciel antérieures à 29.2 et 30.0. Le correctif, porté par la demande de modification #32646, a été intégré au code principal le 30 juin 2025, puis rétroporté sur la branche 29 le 12 septembre 2025. Deux versions contenant ce correctif ont ensuite été publiées : Bitcoin Core 30.0 le 10 octobre 2025 et Bitcoin Core 29.2 le 14 octobre 2025. Le calendrier du projet précise que la dernière version vulnérable, désignée 29.x, a atteint sa fin de vie le 27 octobre 2026. La publication des détails techniques est donc intervenue après la mise à disposition des deux versions corrigées et après la fin de vie de cette branche, d'après la chronologie fournie par Bitcoin Core.

Dans quels cas l'attaque pouvait-elle être répétée sans limite ?

D'après la divulgation de Bitcoin Core du 10 novembre 2026, l'attaque supposait d'abord que le pair malveillant soit le premier à annoncer un bloc compact au nœud visé. Le défaut provoquait alors une nouvelle demande du bloc au même pair par une requête GETDATA, assortie d'un délai d'attente de 10 minutes, pendant lequel le traitement des blocs pouvait rester bloqué. Bitcoin Core cite deux situations dans lesquelles ce blocage pouvait être reproduit indéfiniment : lorsque l'attaquant contrôlait les 3 pairs à haut débit de la victime, ou lorsque la victime faisait fonctionner son nœud avec l'option -blocksonly. Le projet classe l'ensemble du problème en gravité moyenne et indique que l'attaque n'était possible que sous certaines conditions, selon le texte de la divulgation.