Core Lightning促請升級，修補通道資金遭耗盡及遠端存取漏洞

Core Lightning是用來執行比特幣閃電網路支付節點的軟體，該軟體呼籲營運者安裝v26.06.10，以修補通道安全、支付處理及遠端存取漏洞。發布通知建議營運者在實際可行的情況下盡快升級。維護者暫時不公開安全修補程式的測試，以延後利用這些修補程式開發可運作的漏洞利用程式，並讓營運者有更多時間升級。

標記版本的變更紀錄指出，v26.06.10新增檢查機制，依據BOLT 2規範檢查對等節點在雙方出資開通通道及通道拼接時提供的交易簽章。一項支付處理漏洞可能使節點將最近移除的條件式比特幣支付合約（稱為HTLC），與具有相同支付雜湊值、金額及到期時間的有效HTLC混淆。因此，受影響節點可能會使有效支付在上游失敗，但對等節點仍能領取該筆支付。

更新會拒絕塵埃限制高於5,000聰的對等節點所提出的通道開通提案。變更紀錄指出，先前的行為會讓對等節點在強制關閉通道時，將節點餘額轉為手續費。若對等節點的塵埃限制高於通道準備金，更新也會拒絕雙方出資的開通提案。雙方出資功能仍屬實驗性功能。維護者建議不要與不受信任的對等節點建立零確認通道。除非營運者已明確設定接受該對等節點，否則此版本會拒絕v2零確認通道開通。

曾執行master版本的節點無法降級至26.06.x系列，因為這些節點使用較新的資料庫綱要。GitHub列出的v26.06.10發布日期為11月4日，但標記版本的變更紀錄將v26.06.10日期列為11月5日。此次更新之前，v26.06.9已推出安全修補，11月2日也發生另一項與已儲存觸發條件有關的當機問題。

Core Lightning的commando介面允許直接連線的對等節點要求節點執行命令。對等節點通常需要一種稱為Rune的授權憑證，才能執行該命令。此次更新可防止重複的參數名稱或標點符號變體，繞過Rune對參數名稱的限制。更新也修正了執行命令失敗後重用命令ID所造成的commando當機問題。此版本會拒絕過大的Rune；先前解碼這類Rune需要耗費過多處理資源。

維護者建議營運者在升級軟體的同時，另行檢查遠端命令憑證。維護者建議透過id限制，將commando Rune限定於應用程式的節點ID。維護者也建議使用blacklistrune將營運者無法確認來源的憑證列入黑名單，然後以更嚴格的限制簽發替代憑證。