Core Lightning 26.06.9: neue Sicherheitsfixes und Ende einer Gossip-Drosselung

Serguey Asael Shinder08 October 2026, 07:161 Min. Lesezeit

Core Lightning hat am 7. Oktober v26.06.9 veröffentlicht, ein Point-Release, zu dem die Maintainer dringend raten. Es vereint Fehlerbehebungen, Fixes für Schwachstellen, die von mehreren Seiten verantwortungsvoll gemeldet wurden, und die Reparatur einer Regression aus dem vorigen Release.

Kein Embargo, Tests zurückgehalten. Wie bei 26.06.8 sind die Fixes sofort öffentlich, ohne Embargofrist. Das Team hält erneut die Tests für die Sicherheitsfixes vorübergehend zurück, damit sie sich nicht schnell in funktionierende Exploits verwandeln lassen und Betreiber mehr Zeit zum Aktualisieren haben, bevor technische Details erscheinen.

Wo die Sicherheitsfixes liegen. Kanal-Wiederaufbau, Splicing, HTLC-Verarbeitung beim Schließen, Onion-Verarbeitung, onchaind, Gossip-Bereichsabfragen, Runes und setconfig, dazu mehrere Fixes gegen Abstürze aus der Ferne und zur Härtung.

Die Regression. In 26.06.8 konnten belastete Knoten ihre Peers bei gewöhnlichem Gossip, Pings und Onion-Nachrichten drosseln und so den Kanalverkehr verzögern. In 26.06.9 zählen nur Gossip-Abfragen gegen das CPU-Budget.

Neue Builds. Reproduzierbare arm64- und armv7-Binärdateien für Ubuntu 22.04, 24.04 und 26.04 ergänzen die bisherigen amd64-Builds, jede Architektur mit eigenem signiertem SHA256SUMS-Manifest.

Hinweise für Betreiber.

• Eine eingeschränkte Rune kann keine uneingeschränkte Rune mehr erzeugen und keine gesperrten Runes wieder freigeben; dafür ist nun eine uneingeschränkte Rune nötig, und invokerune und destroyrune werden wie createrune und blacklistrune geprüft.
• listconfigs zeigt jetzt ... statt der Werte von wallet, recover und tor-service-password.

Es ist das dritte Sicherheits-Point-Release der Linie 26.06 seit Ende August; das Release vom 28. August behob unter zweiwöchigem Embargo einen Fehler bei der Strafe für widerrufene Commitments.