ثغرة عالية الخطورة في Bitcoin Core تعطل إنشاء الكتل على إصدارات محددة
الحقائق الرئيسية
نشر Bitcoin Core في 10 نوفمبر 2026 تفاصيل ثغرة أمنية صنفها عالية الخطورة، وقال إن أثرها قد يمنع العقدة المتأثرة من إنشاء كتل بعد تنفيذ إعادة تنظيم للسلسلة. ويطال الخلل إصدارات Bitcoin Core من 28.0 إلى 28.2، ومن 29.0 إلى 29.1، وفق الإفصاح الرسمي. ويتعلق الأثر بالعقدة التي واجهت إعادة التنظيم، إذ يفشل فحص صلاحية قالب الكتلة الذي تجمعه. وقال المشروع إن العقدة لا تستطيع إنتاج كتل حتى إعادة تشغيلها، التي تعيد تحميل مجمع الذاكرة بحالة متسقة. وبذلك يتركز الأثر المعلن في تشغيل العقدة المتأثرة، ولا يصف الإفصاح اضطراباً عاماً في شبكة Bitcoin.
ينشأ الخلل عند إعادة إدراج معاملات الكتل التي انفصلت عن السلسلة في مجمع الذاكرة أثناء إعادة التنظيم. يتيح مسار إعادة الإدراج تجاوز حدود السياسة المعتادة، لكن فرع إخلاء المعاملات الشقيقة لم يكن مشروطاً بهذا التجاوز، بحسب شرح Bitcoin Core. لذلك استمر تطبيق قيود TRUC على المعاملات بينما كانت تعاد إلى المجمع. وقد يؤدي هذا التباين إلى بقاء معاملات تنفق مخرجات لم تعد موجودة في الحالة الجديدة للسلسلة. وعندما يحاول البرنامج إنشاء قالب كتلة من المجمع، يفشل التحقق من صلاحية القالب. وتقول Bitcoin Core إن إعادة التشغيل تعالج الحالة بإعادة تحميل المجمع بصورة متسقة، بما يسمح باستئناف إنشاء الكتل.
تتعلق قيود TRUC بسياسة مجمع الذاكرة، وليست قواعد إجماع تحدد صلاحية الكتل على مستوى الشبكة. وتنص السياسة على ألا يكون لمعاملة TRUC أكثر من سلف واحد غير مؤكد ولا تابع واحد غير مؤكد في المجمع. ويعني هذا أن بنية معاملات قد تكون مقبولة داخل كتلة صحيحة لا يمكن بالضرورة تكوينها في مجمع الذاكرة وفق تلك القيود. وفي الخلل المعلن، تداخل تطبيق هذه السياسة مع إعادة إدراج معاملات الكتل المنفصلة خلال إعادة التنظيم. وأبقى هذا التداخل معاملات في المجمع مرتبطة بمخرجات غير موجودة، وفق تفسير المشروع. ويشرح ذلك كيف أمكن أن يتعذر على العقدة المتأثرة تجميع قالب صالح من دون أن يصف الإفصاح خللاً في قواعد الإجماع نفسها.
نسب Bitcoin Core اكتشاف الثغرة والإبلاغ المسؤول عنها إلى نيكلاس غوغي، الذي أرسلها إلى القائمة البريدية الأمنية في 26 سبتمبر 2025. وبعد ثلاثة أيام، فتح غريغ ساندرز طلب الإصلاح رقم 33504 في 29 سبتمبر من العام نفسه. ودُمج الإصلاح في الفرع الرئيسي في 2 أكتوبر 2025، ثم نُقل إلى فرع 28.x عبر طلب منفصل رقم 33535 في 7 أكتوبر. ويظهر تسلسل الإصلاح أن المشروع عالج الخلل في الفرع الرئيسي وفي سلسلة الإصدارات الأقدم ذات الصلة. أما الإعلان العلني عن التفاصيل فجاء في نوفمبر 2026، بعد صدور النسخ المصححة بمدة طويلة.
أُدرج الإصلاح في Bitcoin Core 30.0، الذي صدر في 10 أكتوبر 2025، ثم في الإصدار 29.2 الصادر في 14 أكتوبر، والإصدار 28.3 الصادر في 17 أكتوبر. وتجاوزت هذه النسخ نطاق الإصدارات المتأثرة الذي حدده الإفصاح، وهي 28.0 إلى 28.2 و29.0 إلى 29.1. وبحسب سياسة Bitcoin Core، تُكشف الثغرات المتوسطة والعالية بعد أسبوعين من انتهاء دعم آخر إصدار متأثر. وتشير السياسة إلى أن هذه المهلة تقع تقريباً بعد عام من إصدار نسخة رئيسية تتضمن الإصلاح. وانتهى دعم سلسلة 29.x، وهي آخر سلسلة تضم إصداراً متأثراً بحسب الإفصاح، في 27 أكتوبر 2026. ونشر المشروع تفاصيل الثغرة في 10 نوفمبر، بعد أسبوعين من ذلك التاريخ.
جاء الإفصاح عن الخلل ضمن دفعة أمنية نشرها Bitcoin Core في اليوم نفسه، وشملت أيضاً الثغرتين CVE-2025-62859 وCVE-2025-62860، المصنفتين متوسطتي الخطورة. وتعرّف سياسة المشروع مستوى الخطورة العالية بأنه أخطاء ذات أثر كبير على العقد المتأثرة أو الشبكة، وغالباً ما تكون قابلة للاستغلال عن بُعد في الإعدادات الافتراضية وقد تسبب اضطراباً واسعاً. لكن الوصف الخاص بهذه الثغرة يحدد الأثر التشغيلي في العقدة التي أجرت إعادة التنظيم، ويذكر أن إعادة التشغيل تعيد المجمع إلى حالة متسقة. وتضع هذه التفاصيل نطاق المشكلة في إنشاء الكتل على العقدة المتأثرة بعد إعادة التنظيم. وكانت النسخ التي تضمنت الإصلاح قد صدرت في أكتوبر 2025، قبل الإفصاح العلني في نوفمبر 2026.