Tre feil offentliggjort etter at rettingene var ute

Bitcoin Core offentliggjorde 10. november 2026 tre sårbarheter som allerede var rettet. Det melder Bitcoin.com 11. november. Utviklerne beskriver feilene som svakheter knyttet til tjenestenekt og personvern. De gjaldt ikke tyveri av bitcoin. Den alvorligste ble klassifisert med høy alvorlighetsgrad fordi den kunne forstyrre minedrift.

De to andre feilene fikk medium alvorlighetsgrad. Den ene gjaldt innkommende tilkoblinger over Tor. Den andre kunne få en ondsinnet peer til å stanse blokkbehandlingen i en node i inntil ti minutter. Sakene har hver sin CVE-betegnelse: CVE-2025-62861 for den høyt klassifiserte feilen, CVE-2025-62860 for Tor-feilen og CVE-2025-62859 for feilen som kunne stanse blokkbehandlingen.

Ifølge Bitcoin.com opplyser utviklerne at ingen av de tre feilene kunne brukes til å stjele bitcoin eller lage nye. De opplyser også at ingen utnyttelse er rapportert.

Feilen som kunne forstyrre minedriften

Den høyt klassifiserte feilen, CVE-2025-62861, rammet noder som kjørte versjon 28.0 til 28.2 og versjon 29.0 til 29.1, ifølge Bitcoin Foundation.

Ifølge Cryptotimes oppstod feilen i forbindelse med såkalte TRUC-transaksjoner, også kalt transaksjonsversjon 3. Disse er definert i BIP-431. I noden sin kø av ubekreftede transaksjoner, som kalles mempool, kan en slik transaksjon bare ha én ubekreftet forelder og ett ubekreftet barn.

Når feilen ble utløst, kunne en node ikke lage gyldige blokkmaler før den ble startet på nytt. Cryptotimes forklarer dette med at transaksjonskøen lastes inn på nytt ved omstart. Blokkmaler er det minere bruker som utgangspunkt når de bygger nye blokker. En node som ikke kan lage dem, kan dermed ikke brukes til dette arbeidet. Det er bakgrunnen for at feilen ble vurdert som alvorlig for minedriften.

Tor-feilen og den valgfrie hvitelisten

Den medium-alvorlige feilen CVE-2025-62860 gjaldt innkommende Tor-tilkoblinger som fikk tillatelser via en valgfri hviteliste-innstilling. Ifølge Cryptoticker anslo Bitcoin Core at tusenvis av nåbare noder på hovednettet var berørt.

Hokanews skriver at Bitcoin Core anslo at tusenvis av nåbare noder på hovednettet hadde konfigurasjoner som ga hvitelistetillatelser til innkommende Tor-tilkoblinger.

Noder som ikke brukte hviteliste-innstillingen, var ikke berørt, ifølge Cryptotimes. Rettingen kom gjennom «pull request #33395» og fjernet adressebaserte hvitelistetillatelser for innkommende Tor-peers.

Feilen er omtalt som en personvernsak. Lesere som vil lese mer om vern mot misbruk av personopplysninger, finner en gjennomgang i artikkelen Slik beskytter du deg mot ID-svindel.

Feilen som kunne stanse blokkbehandlingen

Den tredje feilen, CVE-2025-62859, ble også klassifisert som medium alvorlig. Ifølge Cryptotimes kunne en ondsinnet peer få en node til å stanse blokkbehandlingen i opptil ti minutter. Angrepet kunne dessuten gjentas i bestemte oppsett, for eksempel når noden kjørte i modusen «blocksonly».

Sikkerhetsforsker Eugene Siegel rapporterte feilen i april 2025, ifølge Cryptotimes. Rettingen ble utgitt i versjon 29.2 og 30.0.

For den som driver en node er forskjellen mellom de to typene feil tydelig. Den høyt klassifiserte feilen kunne hindre noden i å lage gyldige blokkmaler. Den medium-alvorlige feilen kunne i stedet stanse behandlingen av blokker som kom inn. Begge gjaldt driften av nettverket og ikke selve eierskapet til bitcoin.

Tidslinjen fra melding til offentliggjøring

Ifølge Cryptotimes meldte sikkerhetsforsker Niklas Gögge den høyt klassifiserte feilen 26. september 2025. Greg Sanders åpnet rettingen 29. september, og den ble slått sammen 2. oktober 2025.

Rettingen ble deretter utgitt i tre versjonsserier:

  • Bitcoin Core 30.0 den 10. oktober 2025
  • Bitcoin Core 29.2 den 14. oktober 2025
  • Bitcoin Core 28.3 den 17. oktober 2025

Ifølge TFTC holdt Bitcoin Core detaljene skjult i 396 dager etter at rettingene var sluppet i oktober 2025. Publiseringen kom først da den siste berørte versjonsserien, 29.x, nådde slutten av støtteperioden 27. oktober 2026.

Hokanews opplyser at en tidligere høyt klassifisert minnesikkerhetsfeil ble rettet før offentliggjøring i mai 2026.

Tidslinjen viser at rettingene var tilgjengelige i flere uker i oktober 2025, mens beskrivelsene av feilene ble offentlige først i november 2026. Ifølge TFTC var det nettopp utløpet av støtten for 29.x som utløste publiseringen.

Ingen tyveri og ingen rapportert utnyttelse

Utviklerne understreker, ifølge Bitcoin.com, at ingen av de tre feilene kunne brukes til å stjele bitcoin eller lage nye. De opplyser også at ingen utnyttelse er rapportert. Feilene handler om at noder og minere kan bli hindret i å gjøre jobben sin, og om at tillatelser kunne gis til innkommende Tor-tilkoblinger via en valgfri innstilling.

Den høyt klassifiserte feilen rammet versjonene 28.0 til 28.2 og 29.0 til 29.1. Rettingen finnes i 28.3, 29.2 og 30.0. Medium-feilen CVE-2025-62859 er rettet i 29.2 og 30.0, mens Tor-feilen ble rettet gjennom «pull request #33395». Decrypt oppsummerer saken 12. november med at utviklerne har rettet tre feil som gjaldt tjenestenekt og personvern, og at den alvorligste kunne ha hindret minere i å bygge nye blokker.

Offentliggjøringen gjelder altså feil som allerede var rettet, og ikke nye angrep. Les mer om andre former for svindel i artiklene Kortsvindel og reklamasjon på kortbetalinger og ID-tyveri og kredittsperre.

Kilder og dato

Saken bygger på kildene under, lest til og med torsdag 12. november 2026. Fakta er gjengitt med egne ord, og tall som ikke er fra en primærkilde, er merket med kilden. Teksten er skrevet med KI.