Zcash düğümündeki 7 güvenlik açığı giderildi; Vakıf NU7 öncesi güncelleme önerdi

Zcash (ZEC) düğüm yazılımı Zebra 7.0.0, yedi güvenlik açığını giderdi. Bunların altısı eş düğümlerin senkronizasyonunu veya doğrulamayı aksatabiliyor ya da normal eş düğümlerin engellenmesine yol açabiliyordu. Bir açık ise düğüm sürecini sonlandırabiliyordu.

Zcash Vakfı (Zcash Foundation), bu düzeltmeleri 3 Kasım'da yayımladığı geliştirme güncellemesinde duyurdu. Vakfın güvenlik uyarısında beş açık 'yüksek', iki açık ise 'orta' önem düzeyinde sınıflandırıldı.

İlk senkronizasyon sırasında bir eş düğüm sahte bir kontrol noktası blok gövdesi gönderirse Zebra normal bloğu yeniden indiremeyebiliyordu. Bu sorun ilk senkronizasyonun durmasına yol açabilirdi.

Sahte bloğun ardından hatalı bir blok da gelirse doğrulama ilerleme durumu düğümün gerçek durumunun önüne geçerek geçerli blokların reddedilmesine neden olabiliyordu. Vakıf, başarısız kontrol noktasının üzerindeki blok kayıtlarını silip doğrulama ilerlemesini geri alacak şekilde yazılımı düzeltti.

Hatalı şeffaf betik içeren işlemler doğrulanırken eş düğüme ceza puanı verilmemesi de giderilen sorunlar arasındaydı. Bu durum aynı eş düğümün doğrulama işini tekrar tekrar tetiklemesine imkân tanıyabiliyordu.

Yazılım, imza özetini her girdi için yeniden hesapladığından büyük bir işlem merkezi işlem birimini (CPU) birkaç dakika meşgul edebiliyordu. Bu açık, işlem doğrulama iş parçacıklarının uzun süre kilitli kalmasına neden olabilirdi.

Coinbase olgunluk denetiminde her işlem girdisi için çıktı listesinin yeniden oluşturulması doğrulamayı uzatabiliyordu. Vakfa göre bu sorun, Zebra 6.4.0'da ortaya çıkan bir gerileme hatasıydı.

Bir blok önde olan eş düğüm geçerli bir kilitlenme süresi işlemi ilettiği hâlde engellenebiliyordu. Bu sorun da güvenlik düzeltmeleri kapsamına alındı.

Eş düğüm bağlantısı kesilirken bekleyen bir aktarımın çakışması zebrad sürecini sonlandırabiliyordu. Vakfın güvenlik uyarısına göre bu sorun fonları veya konsensüs durumunu etkilemiyor ve düğüm yeniden başlatıldığında gideriliyordu.

22 Ekim'de yayımlanan Zebra 7.0.0, NU7 desteği sunan ilk kararlı sürüm oldu. Bu sürümde durum veritabanının biçimi de v28'den v29'a değişti.

NU7, hedef blok aralığını 75 saniyeden 25 saniyeye indiriyor. NU7 kapsamında blok aralığının kısaltılması ve ana ağ uygulama hedefi daha önce haberleştirilmişti.

Vakıf, madencilerin blok şablonu oluşturma ile blokları kabul etme ve yayma süreçlerinin yavaş olduğunu bildirdiğini aktardı. Bunun üzerine madenciler ve madencilik havuzları için ayrı bir test sürümü olan Zebra 7.1.0-alpha.0 yayımlandı.

NU7 etkinleştiğinde 4. sürüm işlemler geçersiz hâle gelecek. Sprout havuzundaki varlıklar yalnızca 4. sürüm işlemlerle taşınabildiğinden, etkinleşmenin ardından bu havuzda kalan varlıklar kullanılamayacak. 5. ve 6. sürüm işlemler geçerliliğini koruyacak.

Zebra 7.0.0'dan Zebra 6.x'e dönmek için tam senkronizasyonun yeniden yapılması gerekiyor. Eş düğüm başına izleme ölçümlerinin etiketleri de değiştiği için mevcut gösterge paneli ayarlarının kontrol edilmesi gerekiyor. Vakıf, bu kararlı sürümün destek süresini normalde uygulanan 12 haftadan 8 haftaya indirdi.

Zcash Vakfı, “ZF Engineering Update: October 20–November 2, 2026” başlıklı belgede, 3 Kasım'daki paylaşım itibarıyla NU7 ana ağ etkinleşmesi için 5 Kasım civarını hedef gösterdi. Etkinleşme takvim tarihine göre değil, 3.543.405'inci bloğa ulaşılmasıyla belirlenecek. Vakıf, düğüm operatörlerine etkinleşmeden önce yazılımlarını güncellemelerini önerdi.