Bitcoin Core accélère la correction des vulnérabilités jugées faciles à découvrir. Le changement de politique, proposé par Antoine Poinsot, alias darosior, a été intégré le 22 octobre 2026. Il ne supprime pas tous les embargos de sécurité.

En bref

Les développeurs pourront publier rapidement un correctif pour chaque version majeure encore maintenue, accompagné d’un avis de sécurité. Les autres vulnérabilités conservent un calendrier de divulgation lié à leur gravité.

Pourquoi les outils d’IA changent le compromis

Dans sa proposition du 16 octobre, Antoine Poinsot constate une hausse des signalements de problèmes faciles à redécouvrir. Il l’attribue largement aux modèles de langage, capables de repérer certaines failles ou des correctifs auparavant discrets.

L’embargo consiste à retarder la publication des détails d’une vulnérabilité. Il laisse normalement le temps de préparer les correctifs et d’organiser les mises à jour. Mais son intérêt diminue si un attaquant peut retrouver le problème à faible coût.

Une procédure accélérée, pas une divulgation sans correctif

La politique publiée prévoit une mise à jour corrective pour chaque branche majeure maintenue, dès que possible. Un avis de sécurité accompagne ces versions, sans appliquer les délais habituels à cette catégorie.

Pour les autres cas, les failles de faible gravité restent divulguées deux semaines après la sortie majeure corrigée. Les failles moyennes ou élevées attendent deux semaines après la fin de support de la dernière version affectée. Les situations critiques relèvent toujours d’une procédure adaptée.

Ce que les opérateurs de nœuds doivent retenir

Ce changement décrit une méthode de traitement. Il ne constitue pas, à lui seul, l’annonce d’une nouvelle faille exploitable. Il ne promet pas non plus de correctif pour les versions dont le support a pris fin.

Il faut distinguer l’existence d’un correctif de son installation effective. Notre bilan des vulnérabilités Bitcoin rappelle pourquoi le suivi des versions compte dans l’évaluation du risque.

🔍 DUC, mon avis

La confidentialité n’aide que si elle donne un avantage réel aux défenseurs. Si tout le monde peut retrouver une faille, distribuer vite le correctif devient prioritaire. Ce pragmatisme me paraît plus solide qu’un calendrier rigide. Mais la sécurité dépend aussi des opérateurs qui appliquent les mises à jour.

✍️ DUC
Sources : Bitcoin Core — politique de sécurité · GitHub — proposition n° 1281