ビットコインコア、深刻度の高いバグ含む3件の脆弱性を修正済

3つの脆弱性を公表・修正

暗号資産（仮想通貨）ビットコイン（BTC）のソフトウェア「ビットコインコア」の開発チームは10日、深刻度の高いマイニング関連のバグを含む3件のセキュリティ脆弱性を修正したことを公表した。

これら3件のうち最も古いものは2025年4月に、残りの2件は2025年9月にチームに報告された。その後同年10月にこれら3つの脆弱性すべてに対する修正を盛り込んだ「Bitcoin Core 30.0」がリリースされ、続いてバージョン29.2が公開されていた。

今年10月27日に脆弱性の影響を受ける最後のバージョンがサポート終了し、その2週間後のタイミングで公表したことになる。

セキュリティ脆弱性の詳細

深刻度が高いとされる「CVE-2025-62861」は、ビットコインコアのバージョン28.0〜28.2および29.0〜29.1に影響を及ぼすものだった。

チェーンの再編成後にメモリプール（承認待ちトランザクションの待合室）へ戻るトランザクションに対し、ビットコインコアの「TRUC」ルール（1つの親トランザクションに対して子トランザクションは1つだけとする）に基づく「シブリング排除」が適用されてしまうという問題があった。

このバグにより、トランザクションがその子孫トランザクションを残したまま排除されてしまい、メモリプールの整合性が失われる恐れがあった。この問題の影響を受けたマイナーは、有効なブロックテンプレートを再び作成できるようになる前に、ノードを再起動する必要があった。

中程度の深刻度を持つ「CVE-2025-62859」は、悪意のあるピア（ビットコインノード）が「コンパクト・ブロック」（ブロックを丸ごと送らず、軽量版で伝える仕組み）内のウィットネス・マリエーション（証拠データの改変可能性）を突くことで、ブロック処理を最大10分間遅延させることを可能とするものだ。

また、この攻撃は、「-blocksonly」モードで実行されているノード、あるいは攻撃者が被害者の広帯域幅を持つ3つのピアすべてを制御している場合、無期限に繰り返される可能性があったとされる。

次に「CVE-2025-62860」は、Tor（通信の送り元を隠すための匿名化ネットワーク）経由で接続してくるピアが「-whitelist」オプションで設定されたIP範囲と一致する場合、ホワイトリストの権限を与えられてしまうというものだった。

ビットコインコアの「-whitelist（ホワイトリスト）」権限は、信頼されたピアに対して、その接続を受け入れたノード側に備わっているDoS攻撃対策やプライバシー漏洩対策機能を緩和するものだ。

この中程度の深刻度を持つバグは、オプションの「-whitelist」設定が有効で、かつそのIP範囲にTorプロキシが含まれているノードに影響を及ぼすものだった。

ビットコインコアのチームによると、メインネット上で外部からアクセス可能なノードのうち数千が、Tor経由の接続をホワイトリストに登録していたという。

別途、ビットコインコアは、AI（人工知能）によるリスク対応でも方針を示していたところだ。10月に、AIへの簡単な指示で見つかるような「容易に発見できる脆弱性」については最短で公開すると発表した。