Операторы Bitcoin Lightning‑узлов, обновившиеся до последних релизов LND, всё ещё сталкиваются с критическим пробелом в безопасности, согласно отчёту CryptoSlate от 9 ноября. Новые бинарные файлы LND по умолчанию отключают слушатели Multipath TCP (MPTCP), закрывая конкретный путь атаки, продемонстрированный в CVE‑2026‑98432, однако базовый дефект ядра Linux остаётся неустранённым на многих хостах, делая узлы уязвимыми к удалённому выполнению кода.

BTC / USD
Источник: CoinGecko. Цены ориентировочные.

Обновление LND блокирует известный вектор эксплуатации

Релизы LND от 30 октября (v0.20.7‑beta и v0.21.6‑beta) убирают стандартные слушатели MPTCP, включённые в Go 1.24 на Linux. Это изменение останавливает продемонстрированный путь эксплуатации, использующий слушатель MPTCP для триггера ошибки памяти ядра. CryptoSlate отмечает, что исправление ограничивается только портами LND (peer, gRPC и REST) и не охватывает другие сервисы, которые могут продолжать экспонировать MPTCP на той же машине.

Уязвимость ядра остаётся критической

Дефект, зарегистрированный как CVE‑2026‑98432, связан с повторным использованием освобождённой памяти при обработке IPv4‑TCP и имеет оценку CVSS 3.1 9.8, что классифицируется как критическое. Трекер безопасности Ubuntu по‑прежнему помечает стандартные пакеты ядра для 22.04 LTS и 24.04 LTS как уязвимые; патчи доступны только в репозитории -proposed с начала ноября. Canonical заявила, что полные обновления ядра скоро появятся, но советует операторам проверить точную версию ядра, работающую в их системах.

Шаги по смягчению для операторов Lightning

CryptoSlate предлагает трёхступенчатый план смягчения: (1) обновить до последней версии бинарного LND, (2) отключить MPTCP на уровне хоста командой sysctl `net.mptcp.enabled=0` (или установить переменную окружения Go `GODEBUG=multipathtcp=0` для мгновенного эффекта), и (3) установить исправленное ядро Ubuntu, как только оно появится в канале -updates, и перезагрузить систему. Операторам, использующим Docker, также необходимо скорректировать настройки сетевого пространства имён контейнера, поскольку изменения на уровне хоста не распространяются автоматически на контейнеры.

Что следует наблюдать дальше

Следить за графиком выпуска патчей ядра Canonical для всех вариантов Ubuntu, за возможными публичными сообщениями об попытках эксплуатации Lightning‑узлов и за потенциальными upstream‑патчами от сообщества ядра Linux, которые могут решить уязвимость независимо от дистрибутивных обновлений.