Bitcoin Core : trois failles corrigées, mettez à jour

Les opérateurs de nœuds Bitcoin ont une mise à jour à installer. Les 27 et 28 octobre 2026, les mainteneurs de Bitcoin Core, le logiciel de référence du réseau, ont publié quatre versions correctives : 29.5, 30.4, 31.2 et 32.1. Elles corrigent trois vulnérabilités divulguées le 28 octobre, dont deux qui permettent à un pair malveillant de saturer la mémoire d'un nœud.

Deux failles de sévérité moyenne

CVE-2026-117350 est la plus directe. Sur les systèmes autres que Linux (Windows, macOS, BSD), le mécanisme de surveillance des connexions basé sur select() pouvait, à la réception de données TCP « urgentes », mettre en file un volume illimité de données pour un pair, en contournant la limite prévue. Selon l'avis, un pair malveillant peut ainsi faire planter « trivialement » n'importe quel nœud Windows, macOS ou BSD auquel il est connecté. Les nœuds sous Linux ne sont pas concernés.

CVE-2026-117349 est plus lente. Bitcoin Core continuait d'accumuler des annonces, notamment de transactions, à destination de pairs mis en pause. Or un pair se déclarant incompatible avec BIP 31, une ancienne extension du protocole, n'était jamais déconnecté pour lenteur. L'avis chiffre la croissance de mémoire jusqu'à 2 Mo par heure et par pair entrant, et environ 5 Mo par heure pour un pair sortant. Les nœuds lancés avec l'option -blocksonly sont beaucoup moins exposés.

Les deux failles sont classées de sévérité moyenne et jugées « facilement découvrables ».

Une troisième faille, plus théorique

CVE-2026-117346, de sévérité faible, concerne les fichiers rev*.dat qui stockent les données d'annulation utilisées lors d'une réorganisation de la chaîne. Les positions dans ces fichiers étaient codées sur 32 bits ; au-delà de 4 Gio, elles bouclaient et écrasaient d'anciennes données. Sur un système 64 bits, un nœud touché s'arrête lors d'une réorganisation et doit être relancé avec -reindex sur une version corrigée. Sous Windows et sur les systèmes 32 bits, le seuil tombe à 2 Gio. L'avis juge l'exploitation « peu pratique » et précise que les systèmes 32 bits et les nœuds stockant leurs blocs sur FAT32 restent concernés même après la mise à jour.

Des failles trouvées par un scan automatisé

Point notable : les trois failles ont été repérées par un scan automatisé reposant sur un grand modèle de langage, mené dans le cadre du projet Loupe d'Elias Rohrer chez Spiral. Gregory Sanders a validé les résultats et les a transmis à l'équipe de sécurité de Bitcoin Core. Deux d'entre elles avaient aussi été signalées indépendamment par d'autres contributeurs. Les correctifs ont été fusionnés le 26 octobre puis rétroportés sur les branches 29 à 32.

Comment mettre à jour

La procédure officielle reste simple : arrêter l'ancienne version, attendre son arrêt complet, puis installer la nouvelle par-dessus (installateur sous Windows, copie de l'application sous macOS, copie des dossiers bin/ et libexec/ sous Linux). Bitcoin Core 31.2 apporte aussi d'autres changements, comme le plafonnement à 10 000 entrées de la file de diffusion privée des transactions, une fonction désormais marquée comme expérimentale.

Ces failles visent avant tout la disponibilité des nœuds, c'est-à-dire leur capacité à rester en ligne. Pour comprendre leur rôle dans le réseau, notre article la blockchain expliquée simplement reprend les bases.