核心事实

Core Lightning 发布了 26.06.10 版本，修复了多位研究人员负责任地报告的安全漏洞。项目方强烈建议用户立即升级。

此次修复涵盖了双重资金（Dual Funding）和拼接（Splicing）、链上 HTLC 解析、 gossip 资源限制、connectd、Runes 与 Commando、插件钩子及 hsmd 等多个方面，同时还包含多项防止远程崩溃及安全加固的修复。

与前两次小版本发布一样，本次发布不设保密期（embargo），但安全修复相关的测试代码暂时被 withheld（保留不公开），以增加将修复方案转化为可利用攻击手段的难度。

作为比特币闪电网络（Lightning Network）的软件实现之一，Core Lightning 发布了 26.06.10 版本，修复了若干起负责任披露的安全漏洞，并敦促节点运营商尽快升级。

该版本于周三在 GitHub 上发布，紧随 26.06.8 和 26.06.9 版本之后，延续了无保密期的发布策略，意味着修复措施已立即生效。

维护人员在发布说明中写道：“我们强烈鼓励大家在方便时尽快升级到 26.06.10。”

此次安全修复涉及双重资金和拼接功能，包括对对等节点交易签名的签名验证检查，以及 onchaind 的 HTLC 解析、gossip 资源限制、connectd、Runes 与 Commando、插件钩子和 hsmd 等模块。此外，发布还包含了多项针对远程崩溃风险及安全加固的修复。

为了增加将修复方案快速转化为实际利用代码的难度，并为用户和网络参与者提供更多时间进行升级，维护人员暂时未公开安全修复的相关测试细节，直到更多技术细节公开发布为止。

项目方感谢了十多位研究人员和团队对漏洞的报告，其中包括比特币红队（The Bitcoin Red Team）。

节点运营商注意事项

新版本现在会拒绝那些“粉尘限额”（dust limit）超过 5,000 聪（satoshi）的通道开启请求。同时，对于请求零确认（zero-conf）的双重资金（v2）通道开启，除非节点配置为接受来自该对等节点的零确认通道（标准通道开启原本就具备此特性），否则也将被拒绝。由于双重资金仍处于实验阶段，维护人员不建议与不受信任的对等节点建立零确认通道。

鉴于多项修复涉及 Runes 和 Commando，维护人员建议运营商将通过 Commando 使用的 Runes 绑定到使用它们的特定节点上，并轮换任何无法解释其来源的 Runes。

此次发布紧随 Bitcoin Core 加快修复 AI 容易发现的 bug 的步伐，跳过了漫长的保密期；同时也呼应了 Electrum 针对恶意服务器利用的 bug 进行的补丁更新。Core Lightning 是多个闪电网络实现方案之一。