Разработчик Bitcoin Core Антуан Пуансо 22 октября утвердил изменение политики безопасности проекта. Речь идёт не о новой уязвимости, а о новом правиле раскрытия информации: легко обнаружимые баги будут исправляться точечными релизами сразу для всех поддерживаемых веток, без длительного эмбарго.
Как пояснили разработчики, языковые модели всё чаще позволяют быстро находить определённые классы уязвимостей и даже распознавать скрытые исправления в открытом коде. Поскольку Bitcoin Core является open-source, патч виден в публичном репозитории задолго до публикации деталей. Если модель может определить, что изменение закрывает уязвимость, режим тишины практически не мешает атакующим, но задерживает выход исправления для пользователей. «Период эмбарго мало что даёт, но откладывает доступность исправленного релиза», — говорится в обосновании.
До сих пор сроки раскрытия зависели от степени тяжести. Уязвимости низкой серьёзности раскрывались через две недели после крупного релиза с исправлением, средние и высокие — примерно через год, через две недели после того, как последняя затронутая версия достигала конца жизненного цикла. Критические случаи рассматривались отдельно.
Новая категория «легко обнаружимых» уязвимостей меняет этот порядок: детали публикуются одновременно с выпуском исправлений, а патчи выходят как точечные обновления для всех поддерживаемых основных версий — как можно скорее.
Сейчас поддерживаются ветки 31.x, 30.x и 29.x. Версия 28.x достигла конца жизненного цикла 19 апреля 2026 года и, как правило, не получает исправлений безопасности. После выхода релиза 32.0 из окна поддержки выйдет ветка 29.x. Узлы на 28.x и более старых версиях не получат новые патчи. Bitcoin Core рекомендует операторам узлов использовать последний поддерживаемый релиз и проверять контрольные суммы и подписи.
Разработчики подчёркивают, что любая политика безопасности — это баланс между прозрачностью и временем на обновление. Для багов, которые атакующие могут найти самостоятельно, быстрый фикс важнее тишины. Первое уведомление, выпущенное по новым правилам, покажет, насколько оперативно точечные релизы будут доходить до всех трёх поддерживаемых веток.
