Bitcoin Core’daki 3 güvenlik açığı, düzeltmelerden 13 ay sonra açıklandı

Bitcoin (BTC) düğüm yazılımı Bitcoin Core’daki üç güvenlik açığı, düzeltmeleri içeren sürümlerin yayımlanmasından yaklaşık 13 ay sonra, 10 Kasım 2026’da kamuoyuna açıklandı. Açıklanan sorunlardan biri bazı madencilik düğümlerinin blok şablonu oluşturmasını engelleyebilirken diğer ikisi belirli yapılandırmalarda Tor bağlantılarının korunmasını ve blokların işlenmesini zayıflatabiliyordu.

Bitcoin Core, 10 Kasım tarihli güvenlik duyurularında açıkları CVE-2025-62861, CVE-2025-62860 ve CVE-2025-62859 olarak tanımladı. CVE-2025-62861 ‘yüksek’, diğer iki açık ise ‘orta’ risk düzeyinde sınıflandırıldı.

Üç açık da Ekim 2025’te yayımlanan 30.0 ve 29.2 sürümlerinde giderilmişti. 30.0, 10 Ekim’de; 29.2 ise 14 Ekim’de yayımlandı. Dolayısıyla yaklaşık 13 aylık süre, düzeltmeleri içeren sürümlerin dağıtımıyla güvenlik açıklarının ayrıntılarının kamuya açıklanması arasındaki aralığı ifade ediyor.

Açıkların bildirilme tarihleri farklıydı. CVE-2025-62859, 28 Nisan 2025’te bildirildi ve açıklanana kadar yaklaşık 19 ay geçti. CVE-2025-62860, 12 Eylül’de; CVE-2025-62861 ise 26 Eylül 2025’te bildirildi.

Bitcoin Core’un güvenlik açıklama politikası, orta ve yüksek riskli açıkların ayrıntılarının etkilenen en son sürümün destek süresi sona erdikten iki hafta sonra yayımlanmasını öngörüyor. Bitcoin Core 32.1 sürüm notlarında 29.x ve daha eski sürümlerin destek dışı kaldığı ve artık güncelleme almayacağı belirtildi. Notlarda, 30.0’da düzeltilen üç orta ve yüksek riskli açığın ayrıntılarının da iki hafta sonra açıklanacağı duyuruldu.

29.x sürüm ailesinin destek süresi 27 Ekim 2026’da sona erdi. Üç güvenlik duyurusu da iki hafta sonra, 10 Kasım’da yayımlandı. Böylece önce düzeltmeleri içeren sürümler dağıtıldı, ayrıntılar ise destek süresinin bitmesinin ardından açıklandı.

Risk düzeyi en yüksek olan CVE-2025-62861, zincir yeniden düzenlemesi sırasında ortaya çıkabiliyordu. Bu işlemde düğüm, mevcut blokların bir bölümünü çıkarıp farklı ve geçerli bir zinciri benimsiyor. İşlemler onaylanmamış işlem havuzuna geri alınırken bir kaldırma kuralının yanlış uygulanması, havuzdaki işlem ilişkilerinin tutarsızlaşmasına yol açabiliyordu.

TRUC olarak bilinen 3. sürüm işlemlerine ait kardeş işlem kaldırma kuralı, işlemler geri yüklenirken de uygulanabiliyordu. Bu durumda daha önce kaldırılmış işlemlere bağlı sonraki işlemler havuzda kalabiliyordu. Etkilenen madencilik düğümleri blok şablonunun geçerlilik denetimini geçemediği için yeniden başlatılana kadar yeni bir şablon oluşturamayabilirdi. Sorun, işlem aktarım politikasındaydı; fikir birliği kurallarında bir hata olduğu anlamına gelmiyordu.

CVE-2025-62860, operatörün varsayılan dışı -whitelist ayarını kullanması ve belirtilen IP aralığına Tor proxy adreslerini eklemesi durumunda ortaya çıkıyordu. Bu durumda dışarıdan gelen Tor bağlantıları güvenilir bağlantılar gibi değerlendirilebiliyor, hizmet engelleme saldırılarına karşı koruma ve bazı gizlilik önlemleri zayıflayabiliyordu.

Bitcoin Core, söz konusu ayarı kullanan ve dışarıdan erişilebilen binlerce mainnet düğümü bulunduğunu bildirdi. Standart dışı -whitelist ayarını kullanmayan düğümler bu açıktan etkilenmedi.

CVE-2025-62859 ise aktarım miktarını azaltan sıkıştırılmış blok geri yüklendikten sonra tanık verisinde değişiklik olup olmadığının denetlenmesi sırasında ortaya çıkabiliyordu. Denetim başarısız olursa düğüm aynı bağlantı eşinden tam bloğu yeniden isteyip en fazla 10 dakika bekleyebiliyordu.

Saldırgan, etkilenen düğümün yüksek bant genişlikli üç bağlantısının tamamını kontrol ederse veya düğüm -blocksonly ayarını kullanırsa bu gecikmeyi tekrarlayabiliyordu. Bitcoin Core, açığı orta risk düzeyinde sınıflandırdı.

Düzeltmelerin kapsamı sürüme göre değişiyordu. 28.3 sürümünde Tor bağlantısı ve madencilik düğümü sorunları giderildi, ancak blok işleme sorunu dahil üç açığın tamamı bu sürüme alınmadı. Üç açığın da düzeltildiği sürümler 29.2 ve 30.0 oldu. 29.x ve daha eski sürümler ise artık desteklenmiyor.

TokenPost daha önce madencilik düğümlerinin blok şablonu oluşturmasını ve Tor bağlantılarını etkileyebilecek üç açığın teknik etkilerini ve düzeltme kapsamını aktarmıştı. Son duyurular, düzeltmelerin dağıtımıyla ayrıntıların açıklanmasının ayrı aşamalarda yürütüldüğünü ve açıklama takviminin destek süresinin sona ermesine bağlandığını ortaya koydu.