比特币核心修复三大漏洞13个月后公开详情

比特币核心项目于2026年11月10日公布了三个已修复安全漏洞的完整技术细节，距离相关补丁发布已逾13个月。这些漏洞分别编号为CVE-2025-62861、CVE-2025-62860和CVE-2025-62859，其中一项可能导致部分挖矿节点无法生成新区块草案，另两项在特定配置下可能降低网络连接隐私性与区块处理安全性。

根据风险评估，CVE-2025-62861被列为高风险，其余两项为中风险。所有问题均已在2025年10月发布的30.0和29.2版本中得到修复，30.0版本于10月10日上线，29.2版本于10月14日发布。所谓“13个月”间隔，实指从修复版发布至技术细节完全公开的时间差。

漏洞报告时间跨度各异

各漏洞提交时间不同：CVE-2025-62859于2025年4月28日报告，历时约19个月才对外披露；CVE-2025-62860于9月12日报送；而CVE-2025-62861则在9月26日被发现。

公开时间符合支持终止政策

比特币核心的安全披露流程规定，中高风险漏洞的技术细节须在最后一个受影响版本支持期结束两周后方可公开。根据32.1版本发行说明，29.x系列及其更早版本已于2026年10月27日停止维护，不再接收更新。

因此，三份漏洞公告于11月10日发布，恰好满足“支持结束后两周”的要求。这一安排体现了项目对稳定性与透明度并重的治理原则。

漏洞触发条件与影响范围

CVE-2025-62861（高风险）：该漏洞存在于链重组场景中。当节点切换主链时，若交易池中的依赖关系未正确恢复，可能导致无效交易残留。尤其在处理Version 3交易（TRUC）的兄弟移除规则时，因重复应用规则，使后续依赖已被移除交易的事务无法正常验证。结果，受影响的挖矿节点在重启前无法生成有效的区块草案。此问题源于交易传播逻辑，而非共识规则本身。

CVE-2025-62860（中风险）：当管理员启用非默认的–whitelist设置，并将Tor代理地址列入白名单时，外部连接可能被错误识别为可信来源。这会削弱拒绝服务防护与隐私保护功能。据估计，当时有数千个公网主网节点使用此类配置，但标准设置用户不受影响。

CVE-2025-62859（中风险）：该漏洞出现在压缩区块恢复过程中，若Witness数据校验失败，节点将重新请求整个区块，最长等待达10分钟。攻击者若控制受害节点的三条高带宽链路，或节点启用了–blocksonly模式，可反复制造延迟。因此被评定为中等风险。

修复范围与版本支持状态

尽管28.3版本已解决部分问题，但未涵盖全部三个漏洞。目前仅29.2与30.0版本完整包含所有修复内容。29.x系列及其早期版本已停止支持，不再获得任何更新。

此前关于挖矿节点异常与隐私机制弱化的报道已初步揭示其影响。此次详细披露进一步确认了比特币核心在漏洞管理上坚持“先修复、后公开”的流程，且公开时间点严格依据版本生命周期政策执行，保障了网络整体安全性与稳定性。