Les développeurs de Bitcoin Core ont publié des avis de sécurité décrivant trois vulnérabilités corrigées en octobre 2025, dont une faille de haute gravité qui aurait pu interférer avec le minage après une réorganisation de la blockchain. Ces divulgations, publiées le 10 novembre, suivent la politique du projet qui prévoit d'attendre au moins deux semaines après la fin de vie des versions logicielles affectées avant de rendre les détails publics.

BTC / USD
Source : CoinGecko. Prix indicatifs.

Mise à jour, 11 nov., 23h08 UTC : Bitcoin.com a rapporté qu'environ 9 % des nœuds accessibles fonctionnaient encore avec des versions vulnérables au moment de la divulgation, et que le développeur Greg Sanders a fusionné le correctif le 2 octobre 2025, selon le média.

Mise à jour, 11 nov., 20h00 UTC : Selon Decrypt, aucune des trois vulnérabilités n'a été classée comme « critique » par Bitcoin Core, et le projet a récemment révisé sa politique de sécurité pour inclure une catégorie pour les bugs découvrables par l'IA, qui seront corrigés et divulgués immédiatement.

Mise à jour, 11 nov., 16h38 UTC : Selon Unchained, les divulgations sont arrivées 396 jours après la sortie des correctifs, et les rapports ont été publiés après que la dernière ligne 29.x vulnérable a atteint sa fin de vie le 27 octobre 2026. L'avis note qu'il ne confirme aucune exploitation des bugs.

Vulnérabilité minière de haute gravité (CVE-2025-62861)

Le problème le plus critique, catalogué sous le nom CVE-2025-62861, a été signalé par le chercheur en sécurité Niklas Goegge le 26 septembre 2025. Il aurait pu provoquer un état incohérent du mempool après une réorganisation de la chaîne, empêchant potentiellement les mineurs de créer de nouveaux blocs. Le bug affectait les versions de Bitcoin Core 28.0-28.2 et 29.0-29.1 et a été traité dans Bitcoin Core 28.3.

Failles de gravité modérée (CVE-2025-62859 et CVE-2025-62860)

La deuxième vulnérabilité, CVE-2025-62859, a été identifiée par Eugene Siegel en avril 2025. Elle permettait à un pair malveillant de manipuler les données de témoin des transactions, retardant potentiellement le traitement des blocs jusqu'à dix minutes et permettant des attaques répétées sur les nœuds avec certaines configurations.

Le troisième problème, CVE-2025-62860, concernait les nœuds utilisant la liste blanche Tor optionnelle. Des milliers de nœuds mainnet accessibles autorisaient involontairement les connexions entrantes Tor, les exposant à un usage abusif potentiel. Les nœuds sans configuration de liste blanche n'étaient pas affectés.