Оператори Bitcoin Lightning‑вузлів, які оновилися до останніх випусків LND, все ще стикаються з критичною безпековою прогалиною, згідно зі звітом CryptoSlate від 9 листопада. Хоча нові бінарники LND вимикають слухачі Multipath TCP (MPTCP) за замовчуванням — закриваючи конкретний шлях атаки, продемонстрований у CVE‑2026‑98432, — базова вразливість ядра Linux залишається не виправленою на багатьох хостах, залишаючи вузли вразливими до віддаленого виконання коду.

BTC / USD
Джерело: CoinGecko. Ціни орієнтовні.

Оновлення LND блокує відомий шлях експлуатації

Випуски LND від 30 жовтня (v0.20.7‑beta і v0.21.6‑beta) видаляють типові слухачі MPTCP, які Go 1.24 увімкнув у Linux. Це зміна зупиняє продемонстрований шлях експлуатації, що використовував слухач MPTCP для запуску багу корупції пам’яті ядра. CryptoSlate зазначає, що виправлення обмежується лише портами LND (peer, gRPC і REST) і не охоплює інші служби, які можуть залишатися відкритими для MPTCP на тому ж сервері.

Вразливість ядра залишається критичною

Уразливість, позначена як CVE‑2026‑98432, стосується повторного використання звільненої пам’яті під час обробки IPv4 TCP і має оцінку CVSS 3.1 = 9.8, що класифікує її як критичну. Трекер безпеки Ubuntu досі позначає стандартні пакети ядра для 22.04 LTS і 24.04 LTS як вразливі, а патчі доступні лише у репозиторії -proposed станом на початок листопада. Canonical повідомила, що повні оновлення ядра будуть випущені, і радить операторам перевіряти точну версію ядра, що працює у їхніх системах.

Кроки пом’якшення для операторів Lightning

CryptoSlate пропонує триступеневий підхід до пом’якшення: (1) оновити до останнього бінарника LND, (2) вимкнути MPTCP на рівні хоста за допомогою команди sysctl `net.mptcp.enabled=0` (або встановити змінну середовища Go `GODEBUG=multipathtcp=0` для негайного ефекту), і (3) застосувати виправлене ядро Ubuntu, коли воно з’явиться у каналі -updates, та перезавантажити систему. Оператори, які використовують Docker, повинні також налаштувати параметри мережевого простору контейнера, оскільки зміни на рівні хоста не поширюються автоматично на контейнери.

Що слід спостерігати далі

Наступні події, які варто стежити, включають графік випуску виправлення ядра Canonical для всіх варіантів Ubuntu, будь‑які публічні розкриття спроб експлуатації Lightning‑вузлів та можливі upstream‑патчі від спільноти Linux, які могли б усунути уразливість поза дистрибутивними оновленнями.