Bitcoin Core開発者は、2025年10月に修正された3つの脆弱性を記したセキュリティアドバイザリを公開した。その中には、ブロックチェーン再編成後にマイニングを妨げる可能性のある高深刻度の欠陥も含まれる。開示は11月10日に行われ、対象ソフトウェアのサポート終了後少なくとも2週間待つというプロジェクトの方針に従っている。

BTC / USD
出典：CoinGecko。価格は参考値です。

Update, Nov 11, 23:08 UTC: Bitcoin.comによると、開示時点で到達可能なノードの約9％が依然として脆弱なバージョンを実行しており、開発者のGreg Sandersが2025年10月2日に修正をマージしたと報じられた。

Update, Nov 11, 20:00 UTC: Decryptによれば、3つの脆弱性はいずれもBitcoin Coreでは「クリティカル」には分類されておらず、同プロジェクトは最近、AIで検出可能なバグ用のカテゴリを追加し、即時にパッチと開示を行う方針に改訂した。

Update, Nov 11, 16:38 UTC: Unchainedによると、開示はパッチ配布から396日後に行われ、最後の脆弱な29.x系が2026年10月27日にサポート終了した後に書き起こしが公開された。アドバイザリはバグの実際の悪用は確認されていないと記載している。

高深刻度マイニング脆弱性（CVE‑2025‑62861）

最も深刻な問題はCVE‑2025‑62861としてカタログ化され、2025年9月26日にセキュリティ研究者Niklas Goeggeが報告した。チェーン再編成後にメモプール状態が不整合となり、マイナーが新しいブロックを生成できなくなる可能性があった。このバグはBitcoin Core 28.0‑28.2および29.0‑29.1に影響し、Bitcoin Core 28.3で対処された。

中程度の脆弱性（CVE‑2025‑62859およびCVE‑2025‑62860）

2つ目の脆弱性CVE‑2025‑62859は2025年4月にEugene Siegelが特定した。悪意あるピアが取引の証人データを操作でき、ブロック処理が最大10分遅延し、特定設定のノードに対して繰り返し攻撃が可能になる。

3つ目の問題CVE‑2025‑62860は、オプションのTorホワイトリストを使用するノードに関係する。数千の到達可能なメインネットノードが意図せずTorからの inbound 接続を許可し、悪用リスクが生じた。ホワイトリスト未設定のノードは影響を受けなかった。

パッチ配布と開示のタイムライン

3つの脆弱性はすべて2025年10月に修正された。パッチはBitcoin Core 30.0（10月10日リリース）、Bitcoin Core 29.2（10月14日リリース）、およびマイニングバグ用の早期リリース28.3に組み込まれた。公開の遅延は、ユーザーがアップグレードする時間を確保するというBitcoin Coreのセキュリティポリシーに沿ったものだ。

次に注目すべき点

レガシー版Bitcoin Coreを使用しているユーザーは、最新リリースへアップグレードして開示されたリスクを軽減すべきである。パッチ未適用ノードを狙った実際のエクスプロイトが出現するか、今後のリリースで追加のセキュリティ監査が新たな問題を明らかにするかが注目される。

FAQ

CVE‑2025‑62861とは何ですか？

ブロックチェーン再編成後にノードのメモプール状態が破損し、マイナーがブロック生成能力を失う可能性のある高深刻度バグです。

影響を受けるBitcoin Coreのバージョンは？

脆弱性はバージョン28.0‑28.2および29.0‑29.1に影響し、修正は28.3、29.2、30.0に含まれています。

Tor対応ノードは対策が必要ですか？

はい。運用者はTorホワイトリスト設定を見直し、意図しない inbound 接続を防ぐためにパッチ適用版へアップグレードすべきです。