比特币核心项目于2026年11月10日公布了三个已修复安全漏洞的完整技术细节，距离相关补丁发布已超过13个月。这些漏洞分别被标记为CVE-2025-62861（高风险）、CVE-2025-62860和CVE-2025-62859（均为中风险），主要影响部分挖矿节点的区块生成能力及特定配置下的隐私保护机制。

漏洞修复与披露时间线

上述问题最早可追溯至2025年4月，当时**漏洞报告提交，历时近19个月才正式公开。其余两个漏洞分别于9月12日和9月26日被发现，**统一在2026年11月10日发布详细说明。所有漏洞均已在2025年10月发布的30.0与29.2版本中完成修复，标志着修复部署与信息披露之间存在明确的时间间隔。

为何延迟公开？遵循支持终止政策

根据比特币核心的安全披露规则，中高风险漏洞的技术细节需在**一个受影响版本的支持期结束后两周内公布。29.x系列版本已于2026年10月27日停止维护，因此11月10日的披露**符合既定流程。这一机制确保了用户有足够时间升级系统，同时避免在未修复状态下**攻击面。

三项漏洞的具体影响解析

CVE-2025-62861（高风险）：该漏洞存在于链重组场景中，当交易被回滚至未确认池时，若错误应用“Version 3交易兄弟移除规则”，可能导致依赖已被移除交易的无效交易残留。结果是部分挖矿节点在重启后无法通过区块草案验证，从而陷入无法出块状态。此问题源于交易传播策略，非共识规则缺陷。

CVE-2025-62860（中风险）：当管理员启用非默认的-whitelist设置，并将Tor代理地址纳入白名单时，外部连接会被误判为可信，削弱拒绝服务防护与隐私保护。据估计，当时仍有数千个主网节点采用此类配置，但标准设置的节点不受影响。

CVE-2025-62859（中风险）：在恢复压缩区块并校验Witness数据时，若检查失败，节点会重复请求整个区块，最长等待达10分钟。攻击者若控制受害节点的三条高带宽链路，或节点启用-blocksonly模式，可诱导持续延迟，造成服务降级。

修复范围与当前支持状态

尽管28.3版本已解决部分问题，但仅覆盖其中两项漏洞。目前只有29.2与30.0版本完整包含**三项修复。随着29.x系列及其更早版本已**停止支持，用户必须升级至**版本以确保安全。此次公开再次印证比特币核心坚持“先修复、后披露”的稳健治理原则，有效平衡安全性与透明度。