Trois failles de Bitcoin Core divulguées, corrigées en 29.2 et 30.0

Trois failles corrigées dans Bitcoin Core 29.2 et 30.0 rendues publiques

Antoine Poinsot a diffusé sur Bitcoin-Dev, la liste de diffusion des développeurs de Bitcoin, trois avis de sécurité visant Bitcoin Core, rapporte la newsletter Bitcoin Optech n° 431 publiée le 13 novembre 2026.

Le moment de cette publication découle de la politique de divulgation du projet Bitcoin Core : une faille de gravité moyenne ou élevée devient publique deux semaines après la fin de vie de la dernière version qu'elle touche. Selon Bitcoin Optech, la série 29.x a atteint sa fin de vie le 27 octobre 2026.

Donnée	Valeur	Date	Source
Avis de sécurité publiés	3 (1 de gravité élevée, 2 de gravité moyenne)	Newsletter du 13 novembre 2026	Bitcoin Optech
Versions correctives	Bitcoin Core 29.2 et 30.0	Newsletter du 13 novembre 2026	Bitcoin Optech
Correctifs des deux premières failles aussi inclus dans	Bitcoin Core 28.3	Newsletter du 13 novembre 2026	Bitcoin Optech
Fin de vie de la série 29.x	27 octobre 2026	Newsletter du 13 novembre 2026	Bitcoin Optech
Délai de divulgation après la fin de vie de la dernière version touchée	Deux semaines	Newsletter du 13 novembre 2026	Bitcoin Optech

La faille de gravité élevée bloquait les nœuds de minage des versions 28.0 à 29.1

L'avis de gravité élevée, intitulé « Block template creation halted by TRUC sibling eviction during reorg », ne concerne que les nœuds utilisés pour le minage. Après certaines réorganisations de la chaîne, ces nœuds ne parvenaient plus à produire de modèles de bloc tant qu'ils n'avaient pas été redémarrés. Selon Bitcoin Optech, ce défaut touchait les versions 28.0 à 29.1 de Bitcoin Core.

Le défaut venait du mécanisme d'éviction des transactions sœurs TRUC. Ce mécanisme continuait de s'appliquer quand des transactions issues de blocs déconnectés revenaient dans la mempool, la réserve de transactions non confirmées d'un nœud. Une transaction pouvait alors être retirée alors que ses descendantes restaient en place, d'après la newsletter Bitcoin Optech.

Niklas Gögge a signalé cette faille de manière responsable en septembre 2025, selon Bitcoin Optech. Greg Sanders l'a corrigée dans la modification Bitcoin Core #33504.

Deux failles de gravité moyenne visaient les connexions Tor et les blocs compacts

La première faille de gravité moyenne touchait les nœuds dont l'option -whitelist couvrait l'adresse de leur propre démon Tor. Sur ces nœuds, chaque pair entrant par Tor échappait aux limites anti-déni de service (DoS) et aux protections contre les fuites de confidentialité. Selon Bitcoin Optech, des milliers de nœuds joignables utilisent cette configuration. Martin Zumsande et Antoine Poinsot l'ont signalée de manière responsable en septembre 2025 ; Martin Zumsande l'a corrigée dans Bitcoin Core #33395.

La seconde faille concernait le relais de blocs compacts (BIP152), un protocole qui réduit la bande passante et la latence du transfert d'un bloc entre deux nœuds aux mempools proches. Un pair ayant annoncé le premier un bloc compact pouvait retarder jusqu'à 10 minutes son traitement par un nœud, et reproduire ce blocage indéfiniment dans certaines conditions. Eugene Siegel l'a signalée de manière responsable en avril 2025 ; Greg Sanders l'a corrigée dans Bitcoin Core #32646.

Toutes les séries de Bitcoin Core touchées ont atteint leur fin de vie

D'après Bitcoin Optech, toutes les séries de versions concernées par les trois avis sont désormais en fin de vie. La newsletter estime que toute personne qui exécute encore l'une d'elles devrait passer à une version maintenue (« should upgrade to a maintained release », en anglais dans le texte).

Questions fréquentes

Pourquoi trois failles de sécurité de Bitcoin Core ont-elles été rendues publiques ?

Selon la newsletter Bitcoin Optech n° 431 du 13 novembre 2026, Antoine Poinsot a publié sur la liste Bitcoin-Dev trois avis de sécurité Bitcoin Core, un de gravité élevée et deux de gravité moyenne. Leur publication découle de la politique de divulgation du projet : une faille de gravité moyenne ou élevée est rendue publique deux semaines après la fin de vie de la dernière version touchée. D'après Bitcoin Optech, la série 29.x a atteint sa fin de vie le 27 octobre 2026. Les trois failles sont corrigées dans les versions 29.2 et 30.0.

Quelle est la faille de gravité élevée corrigée dans Bitcoin Core 29.2 et 30.0 ?

D'après la newsletter Bitcoin Optech n° 431 du 13 novembre 2026, l'avis de gravité élevée s'intitule « Block template creation halted by TRUC sibling eviction during reorg ». Il ne touchait que les nœuds utilisés pour le minage, qui ne pouvaient plus créer de modèles de bloc après certaines réorganisations de la chaîne tant qu'ils n'étaient pas redémarrés. Le défaut affectait les versions 28.0 à 29.1. Niklas Gögge l'a signalé de manière responsable en septembre 2025 et Greg Sanders l'a corrigé dans la modification Bitcoin Core #33504, selon Bitcoin Optech.

Quelles sont les deux failles de gravité moyenne de Bitcoin Core rapportées par la newsletter Bitcoin Optech du 13 novembre 2026 ?

Selon la newsletter Bitcoin Optech n° 431 du 13 novembre 2026, la première faille levait les limites anti-déni de service et les protections contre les fuites de confidentialité pour chaque pair entrant par Tor, sur les nœuds dont la plage -whitelist incluait l'adresse de leur démon Tor, configuration utilisée par des milliers de nœuds joignables. Martin Zumsande l'a corrigée dans Bitcoin Core #33395. La seconde permettait à un pair ayant annoncé le premier un bloc compact de retarder son traitement jusqu'à 10 minutes, et de répéter ce blocage indéfiniment dans certaines conditions. Greg Sanders l'a corrigée dans Bitcoin Core #32646.

Faut-il mettre à jour Bitcoin Core après ces avis de sécurité ?

D'après la newsletter Bitcoin Optech n° 431 du 13 novembre 2026, toutes les séries de versions concernées par les trois avis ont atteint leur fin de vie. Bitcoin Optech indique que toute personne qui exécute encore l'une d'elles devrait passer à une version maintenue (« should upgrade to a maintained release », en anglais dans le texte). Les correctifs figurent dans Bitcoin Core 29.2 et 30.0, et ceux des deux premières failles aussi dans la version 28.3, selon la même newsletter.