Core Lightning a publié la version 26.06.8 le 22 septembre 2026. Cette mise à jour corrige des bugs et plusieurs vulnérabilités signalées de manière responsable. Les mainteneurs recommandent fortement son installation : les correctifs sont disponibles immédiatement, sans embargo sur cette version.

Des correctifs disponibles, certains tests encore retenus

La publication officielle de Core Lightning 26.06.8 est horodatée à 13 h 38 min 05 s UTC, soit 15 h 38 min 05 s à Paris. Core Lightning est un logiciel permettant d’exploiter un nœud du réseau de paiement Lightning. Cette annonce concerne cette implémentation, et non une modification des règles de consensus de Bitcoin.

L’équipe précise avoir temporairement retenu un petit nombre de tests. Son objectif est de compliquer l’identification et l’exploitation des vulnérabilités par des attaquants, afin de laisser davantage de temps aux opérateurs pour mettre leurs nœuds à jour. Cela ne signifie pas que la version ou ses correctifs restent indisponibles.

Ce que les notes de version ne permettent pas de conclure

L’annonce remercie notamment Bitcoin Red Team et plusieurs chercheurs indépendants, ainsi que des personnes restées anonymes. Elle ne détaille toutefois ni le nombre exact de vulnérabilités, ni leur gravité individuelle, ni tous leurs mécanismes. Elle n’établit pas non plus une exploitation active ou un montant de fonds perdus. Cette absence d’information ne prouve pas qu’aucun incident n’a eu lieu.

Le nom de la release contient « Quantum-Resistant Lightning Channel V ». Ce libellé ne suffit pas à démontrer le déploiement de canaux résistants aux ordinateurs quantiques : les notes examinées présentent des correctifs et des précautions opérationnelles, pas une telle garantie.

Deux précautions techniques pour les opérateurs

Financement conjoint et canaux sans confirmation

Le financement conjoint des canaux, activé par l’option --experimental-dual-fund, reste expérimental. Ce mécanisme permet aux deux participants de contribuer au financement d’un canal. Les mainteneurs déconseillent également les canaux sans confirmation, dits « zero-conf », avec des pairs auxquels l’opérateur ne fait pas confiance.

Pas de retour direct depuis certaines versions de développement

Les nœuds ayant utilisé des versions de développement de la branche master ne peuvent pas revenir à une version 26.06.x : leur schéma de base de données est plus récent. Cette restriction empêche de présenter le remplacement du binaire comme une procédure universelle. Les opérateurs concernés doivent suivre les indications officielles adaptées à leur installation, sans improviser une rétrogradation.

Une nouvelle étape, distincte de l’alerte du mois d’août

Notre article sur l’alerte Core Lightning du 26 août décrivait une situation antérieure : les opérateurs attendaient alors une version corrective, avec une recommandation de fonctionnement hors ligne dans certaines circonstances. La publication de septembre ne doit pas être présentée comme une répétition de cette alerte, ni comme une nouvelle demande générale d’arrêt des nœuds.

Une étape intermédiaire existe : la version 26.06.7, publiée le 28 août, avait déjà apporté des correctifs. Son code source a été rendu public le 11 septembre après un embargo. Nos archives Bitcoin d’août avaient relayé cette version et un avertissement distinct sur ses premières images Docker. Il ne faut pas transposer cet avertissement à la 26.06.8 sans preuve.

L’information nouvelle est donc la disponibilité d’une autre version corrective, avec une stratégie de divulgation différente. La recommandation de mise à niveau provient des mainteneurs ; elle ne constitue pas une certification indépendante de l’absence de toute vulnérabilité résiduelle.

🔍 DUC, mon avis

L’intérêt de cette annonce est concret : les opérateurs disposent de correctifs et d’une recommandation claire de mise à niveau. Le récit doit rester à cette échelle. Parler d’un piratage généralisé, d’un arrêt de Lightning ou d’une protection quantique démontrée dépasserait les éléments publiés. La prudence consiste aussi à distinguer la branche stable d’une installation de développement avant toute intervention.

Sources

Core Lightning — notes officielles de la version 26.06.8 ; GitHub — horodatage de publication ; Core Lightning — version 26.06.7 et fin de l’embargo.

En bref

Core Lightning 26.06.8 est disponible depuis le 22 septembre. Les mainteneurs recommandent fortement la mise à niveau. Les correctifs sont accessibles sans embargo, mais certains tests restent temporairement retenus. Le financement conjoint demeure expérimental et le retour depuis des versions master vers 26.06.x est incompatible avec leur schéma de base de données plus récent.

✍️ DUC