Bitcoin Core于2026年11月10日公开三项安全漏洞，涉及矿工生成区块模板、Tor连接权限以及紧凑区块处理。其中一项被评为高危，两项为中危。三项漏洞均已在2025年10月的版本中修复，Bitcoin Core未报告针对它们的活跃利用。此次披露的重点，是仍在运行受影响旧软件的节点，以及特定配置下的权限风险。
高危漏洞影响矿工的区块模板生成
高危漏洞CVE-2025-62861发生在涉及TRUC交易的链重组过程中。链重组是节点放弃部分近期区块、转而接受另一条竞争链的过程；区块模板则是矿工开始挖矿前组装的候选区块。两者在特定条件下相遇，可能导致矿工无法生成有效模板。
该漏洞影响Bitcoin Core 28.0至28.2，以及29.0至29.1版本，于2025年9月26日被报告。其风险指向矿工的生产流程：若模板生成受阻，相关挖矿工作便难以正常推进。这里需要区分软件故障与资产损失，已披露的后果是无法生成有效模板，并不等于已经发生比特币被盗或网络共识失效。
Tor权限与区块处理暴露两类节点风险
中危漏洞CVE-2025-62860涉及Tor连接白名单。节点同时使用Tor和非默认的-whitelist设置时，入站Tor对等节点可能被授予可信权限。Bitcoin Core指出，数千个可访问节点存在这一配置情形。
这一问题的关键是权限边界。运营者配置白名单，是在区分哪些连接能够获得信任；如果入站连接因此取得了预期之外的权限，配置表达的信任范围就可能被扩大。其适用条件也很明确：不能把这一漏洞概括为所有Tor用户或全部Bitcoin Core节点都受影响。数千个节点采用相关设置，也不代表这些节点均已遭到攻击。
另一项中危漏洞CVE-2025-62859涉及紧凑区块处理，恶意对等节点可使区块处理停滞约10分钟。该问题于2025年4月被报告。它直接影响节点处理区块的及时性，但披露信息没有将这一延迟描述为整个网络停止运行，也没有给出实际攻击造成损失的记录。
修复早于披露，版本线与补丁状态须分开看
三项修复均已回移植至2025年10月发布的相关版本，2025年10月10日推出的Bitcoin Core 30.0也已包含修复。2026年10月27日，最后一条涉及这些漏洞的版本线29.x结束支持，随后才公开漏洞细节。
因此，公开时间距离修复超过一年，不代表漏洞刚刚出现，也不意味着所有使用29.x版本的节点一直没有补丁。版本线是否仍受支持、具体版本是否包含修复，是两个需要分别确认的问题。对运行30.0或已安装2025年10月修复版本的运营者而言，此次公告没有新增同一漏洞的暴露窗口。
披露时点与旧版本线结束支持相衔接，也使剩余风险更集中于尚未迁移的部署。不过，“未报告活跃利用”只说明当前披露的信息状态，不能据此推定受影响的软件可以继续安全运行。
运营判断应同时核对版本、角色和配置
从这些安排看，此次事件更值得关注的是节点维护是否落实到具体部署，而非单看漏洞数量或严重性标签。三项漏洞分别依赖链重组与特定交易、Tor白名单配置、恶意对等节点等条件，影响对象和故障方式并不相同，不能合并成一个统一的网络风险结论。
矿工需要核对承担模板生成任务的软件是否处于受影响版本范围；使用Tor的节点运营者还需检查-whitelist权限设置，仅确认启用了Tor并不足以判断风险。对于区块处理停滞问题，则应确认部署版本包含对应修复。
具体风险在于：软件可能仍能运行，却已结束支持或缺少必要修复。后续应观察的公开条件包括是否出现利用通报，以及维护版本的安全公告；运营侧则应把实际版本号、补丁状态和非默认配置逐一对应。已有修复提供了明确的处置路径，但其保护作用取决于修复是否真正进入正在运行的节点。
