Bitcoin Core ha divulgato il 10 novembre 2026 tre vulnerabilità già corrette, una di gravità elevata e due di gravità media. La più grave può impedire ai nodi interessati di creare modelli di blocco validi per il mining. Le correzioni sono disponibili da ottobre 2025.
Come funziona il bug che riguarda il mining
La vulnerabilità CVE-2025-62861 interessa le versioni da 28.0 a 28.2 e da 29.0 a 29.1. Il problema si manifesta durante una riorganizzazione della blockchain, quando le transazioni dei blocchi scollegati vengono reinserite nella mempool, l'insieme delle transazioni in attesa di conferma.
In questa fase, una regola di rimozione delle transazioni TRUC, chiamata sibling eviction, continua a essere applicata erroneamente. Il risultato può essere la rimozione di una transazione senza eliminare quelle che ne spendono gli output, lasciando la mempool in uno stato incoerente.
Il difetto blocca la creazione di modelli di blocco validi: il modello assemblato fallisce il controllo di validità. Il nodo interessato deve essere riavviato per ricaricare la mempool in uno stato coerente e riprendere la produzione dei blocchi.
Che cosa riguardano le altre due vulnerabilità
La CVE-2025-62859, di gravità media, riguarda l'elaborazione dei blocchi. Un peer malevolo può inviare per primo un blocco compatto con dati witness alterati e provocare un'attesa di 10 minuti. L'attacco può essere ripetuto indefinitamente se il nodo usa l'opzione -blocksonly oppure se l'aggressore controlla tutti i suoi tre peer ad alta larghezza di banda.
La CVE-2025-62860, anch'essa di gravità media, assegna erroneamente permessi di whitelist alle connessioni Tor in ingresso quando l'indirizzo del proxy rientra nell'intervallo IP configurato. Questo comportamento elimina alcune protezioni contro attacchi di negazione del servizio e alcune mitigazioni delle fughe di informazioni. I nodi senza l'opzione facoltativa -whitelist non sono interessati.
Da quando sono disponibili le correzioni
Tutte e tre le vulnerabilità sono state corrette in Bitcoin Core 30.0, pubblicato il 10 ottobre 2025, e nella versione 29.2, pubblicata il 14 ottobre 2025.
La divulgazione dei dettagli segue la fine del supporto dell'ultima serie vulnerabile, la 29.x, avvenuta il 27 ottobre 2026. Per le vulnerabilità di gravità media ed elevata soggette a embargo, la politica di Bitcoin Core prevede la pubblicazione due settimane dopo questo passaggio.
Le criptovalute sono strumenti ad alto rischio e molto volatili: il loro valore può azzerarsi. Questo articolo ha solo scopo informativo e non è una consulenza finanziaria né un invito a investire.
