比特币核心修复三大漏洞逾13个月后公开详情

比特币核心项目于2026年11月10日公布了此前在2025年10月发布的30.0与29.2版本中修复的三个安全漏洞的完整技术细节，距修复补丁部署已逾13个月。

漏洞修复与披露周期

此次公开的漏洞分别编号为CVE-2025-62861（高风险）、CVE-2025-62860和CVE-2025-62859（均为中风险）。它们均已在2025年10月推出的30.0及29.2版本中完成修补，其中30.0版于10月10日发布，29.2版于10月14日上线。

值得注意的是，从修复版本发布到**披露之间相隔约13个月，这一时间差符合比特币核心的安全披露策略：即在**一个受影响版本的支持结束两周后，才对外公布漏洞详情。

披露政策与版本支持周期

根据比特币核心的官方披露规范，中高风险漏洞的技术细节需在相关版本停止维护后的两周内公开。29.x系列的生命周期已于2026年10月27日终止，因此11月10日的公告恰逢两周期限届满，体现了其流程的制度化与透明性。

漏洞影响与触发条件

CVE-2025-62861（高风险）：该问题出现在链重组场景下，当节点回滚交易并恢复至未确认池时，若错误应用了特定交易移除规则，可能导致依赖已删除交易的无效交易残留。这会干扰挖矿节点在重启后生成新区块草案的能力，影响区块产出效率。此问题源于交易传播机制，而非共识规则本身。

CVE-2025-62860（中风险）：当管理员启用非默认的-whitelist设置，并将Tor代理地址纳入白名单时，外部连接可能被误判为可信来源，从而削弱拒绝服务防护与隐私保护能力。据估计，当时有数千个公网主网节点存在此类配置，但标准配置用户不受影响。

CVE-2025-62859（中风险）：该漏洞涉及压缩区块恢复过程中对Witness数据的校验失败。若验证不通过，节点将重新请求整个区块，最长等待达10分钟。攻击者可通过控制高带宽链路或利用-blocksonly模式制造持续延迟，造成服务响应迟滞。

修复范围与当前状态

尽管28.3版本已修复部分问题，但仅覆盖部分漏洞。目前只有29.2与30.0版本完整包含了所有三项修复内容。随着29.x系列及其更早版本均已停止支持，建议所有节点尽快升级至**稳定版本以确保系统安全。

本次**披露再次印证了比特币核心在漏洞管理上的严谨流程：先部署补丁，待旧版本退出支持后再公开细节，既保障了网络稳定性，也维护了生态整体安全。