币圈界报道：

比特币核心（Bitcoin Core）安全漏洞修复方案发布逾13个月后公开详情

比特币核心软件中的三个安全漏洞的详细信息于2026年11月10日公开，距离相关修复版本的部署已过去约13个月。其中一项漏洞可能阻止部分挖矿节点的区块草案生成；另外两项漏洞在特定配置下可能会削弱Tor连接的保护机制及区块处理的安全性。

比特币核心项目将这三个漏洞分别标识为CVE-2025-62861、CVE-2025-62860和CVE-2025-62859。根据风险等级分类，CVE-2025-62861被评定为“高”风险，其余两项则为“中”风险。

上述三个漏洞均在2025年10月发布的30.0版本和29.2版本中得到修复。其中30.0版本于10月10日发布，29.2版本于10月14日发布。因此，“13个月”的时间跨度指的是从修复版发布到细节完全公开之间的间隔期。

各漏洞的报告时间各不相同：CVE-2025-62859于2025年4月28日被报告，历时约19个月才予以公开；CVE-2025-62860于9月12日报告；CVE-2025-62861于9月26日报告。

公开时间符合支持终止政策规定

比特币核心的安全披露政策规定，对于中等或高风险漏洞，其详细技术内容将在最后一个受影响版本的支持结束两周后予以公开。

比特币核心32.1版本的发行说明指出，29.x系列及其更早版本已结束支持，不再接收更新。该说明同时确认，针对30.0版本中修复的三个中高危险度漏洞的细节将在两周后公开。

29.x系列的支持结束日期为2026年10月27日，而这三份安全公告恰好在两周后的11月10日发布。这一时间安排再次印证了比特币核心先部署修复补丁、待版本停止支持后再公开详细信息的政策导向。

三项漏洞在不同条件下触发

CVE-2025-62861（高风险）：此漏洞发生在链重组过程中。链重组是指节点排除部分现有区块并采纳另一条有效链的过程。在此过程中，当交易被回退至未确认交易池时，若移除规则应用不当，可能导致交易池内的交易关系失去一致性。

特别是在处理Version 3交易（TRUC）的兄弟移除规则时，由于在恢复交易的过程中也应用了该规则，可能导致后续依赖已被移除交易的无效交易残留。结果，受影响的挖矿节点可能在重启前无法通过区块草案的有效性验证，从而无法生成新的区块草案。需要注意的是，此问题源于交易传播策略，并非共识规则本身的错误。

CVE-2025-62860（中风险）：此漏洞出现在管理员使用非默认的-whitelist设置，且指定的IP范围中包含Tor代理地址的情况下。此时，来自外部的Tor连接会被视为受信任的连接，从而导致拒绝服务攻击防护和部分隐私保护措施被削弱。比特币核心表示，当时存在数千个运行在公网主网上并使用此类配置的节点，而未使用标准-whitelist设置的节点不受影响。

CVE-2025-62859（中风险）：此漏洞发生在恢复压缩区块并检查Witness数据是否被篡改的过程中。如果检查失败，节点可能会向同一对等节点重新请求整个区块，并等待长达10分钟。如果攻击者控制了受害节点的高带宽连接的三条链路，或者节点启用了-blocksonly设置，则可能重复造成延迟。鉴于此，该项目将其列为中等风险。

修复范围与支持状态

不同版本的修复范围有所差异。虽然28.3版本修复了Tor连接问题和挖矿节点问题，但并未完全涵盖所有三个漏洞相关的区块处理问题。目前，包含所有三个漏洞修复的版本为29.2和30.0。29.x系列及其更早版本目前已处于停止支持状态。

此前关于这些可能影响挖矿节点区块生成及Tor连接的安全漏洞的报道中，已详细说明了其技术影响和修复范围。本次详细信息的公开表明，比特币核心项目的漏洞管理流程严格遵循“先发布修复补丁，后公开技术细节”的步骤，且公开时间点明确受制于版本的支持周期政策。