Les mainteneurs de Core Lightning recommandent aux opérateurs de mettre leur nœud en mode hors ligne s’ils ne peuvent pas installer la prochaine version de sécurité. Au moment de la dernière vérification, le correctif annoncé n’était toujours pas disponible sur la page officielle des versions GitHub.

L’alerte a été largement relayée le 26 août 2026 par le développeur Calle, qui a parlé d’une « vulnérabilité critique ». Cette qualification vient toutefois de Calle : le message attribué aux mainteneurs de Core Lightning parle de risques connus et recommande l’utilisation du mode –offline, sans publier encore les détails techniques.

📖 Failles Bitcoin : bilan au 26 août 2026

Un correctif annoncé mais pas encore publié

Selon The Defiant, l’équipe Core Lightning prépare des binaires signés contenant plusieurs correctifs. Les informations détaillant les vulnérabilités resteront sous embargo pendant environ deux semaines afin de laisser aux opérateurs le temps de mettre leurs infrastructures à jour.

La page officielle des releases GitHub indiquait toujours v26.06.6, publiée le 22 juillet, comme version la plus récente lors de notre vérification. Aucune nouvelle version de sécurité correspondant à l’alerte n’y était encore visible.

Que doivent faire les opérateurs CLN ?

Le message relayé par la communauté indique que les utilisateurs devront installer les binaires signés dès leur publication. Ceux qui ne souhaitent pas ou ne peuvent pas effectuer cette mise à jour sont invités à redémarrer leur nœud avec l’option :

–offline

Ce mode empêche le nœud de communiquer normalement avec ses pairs Lightning. L’objectif est de réduire son exposition tant que les correctifs et les informations techniques complètes ne sont pas disponibles.

Les anciennes versions, y compris 26.04, ne seront plus prises en charge dans le contexte de cette alerte selon le message rapporté par The Defiant.

Des rapports de vulnérabilités générés avec l’aide de l’IA

Core Lightning avait déjà indiqué le 13 août avoir reçu plusieurs rapports de vulnérabilités générés à l’aide d’outils d’intelligence artificielle provenant de différentes sources.

L’équipe expliquait alors travailler avec des contributeurs open source pour vérifier ces signalements, éliminer les faux positifs et développer les correctifs nécessaires.

À ce stade, les mainteneurs n’ont pas publié le nombre exact de failles retenues, leur mécanisme d’exploitation ni leur niveau de gravité individuel.

« Critique » : une formulation à utiliser avec prudence

Calle a diffusé un message très direct demandant aux utilisateurs de couper immédiatement leurs nœuds CLN et qualifiant la situation de vulnérabilité critique.

Mais selon The Defiant, le message original de Core Lightning ne qualifie pas explicitement une faille unique de « critique ». Il demande plutôt aux opérateurs de mettre à jour lorsque les nouveaux binaires seront disponibles ou, dans le cas contraire, de fonctionner hors ligne.

Cette distinction est importante tant que l’embargo empêche d’examiner publiquement les vulnérabilités concernées.

Aucune perte de fonds confirmée à ce stade

Aucune exploitation active ni perte de fonds directement attribuée à ces vulnérabilités de Core Lightning n’a été publiquement confirmée dans les sources consultées.

L’alerte doit donc être considérée comme une mesure préventive sérieuse, mais il serait prématuré de parler d’un piratage généralisé de Core Lightning ou de fonds déjà compromis.

Bitcoin et Lightning ne sont pas arrêtés

L’incident concerne Core Lightning, une implémentation particulière du Lightning Network. Il ne s’agit pas d’une faille du protocole Bitcoin lui-même.

Le réseau Bitcoin continue de fonctionner normalement, tout comme les autres implémentations Lightning qui ne sont pas concernées par cette alerte spécifique.

🔎 Analyse DUC /ne pas amplifier ce qui n’est pas encore confirmé

Dans une situation comme celle-ci, le plus important est de ne pas amplifier ce qui n’est pas encore confirmé. Calle utilise le mot « critique », mais les détails techniques sont encore sous embargo et le message des mainteneurs est plus mesuré.

En revanche, lorsqu’une équipe de développement demande aux opérateurs de mettre leurs nœuds hors ligne s’ils ne peuvent pas installer le prochain correctif, il faut prendre l’avertissement au sérieux.

Pour les opérateurs CLN, la priorité est donc simple : surveiller uniquement les canaux officiels, vérifier la signature des futurs binaires et installer la version corrigée dès sa publication. En attendant, le mode –offline constitue la précaution recommandée.

Pour les autres utilisateurs de Bitcoin, inutile de paniquer : cette alerte ne signifie pas que Bitcoin ou l’ensemble du Lightning Network ont été compromis.

✍️ DUC
📌 Sources : Core Lightning — versions officielles — The Defiant — Calle sur X

🚀 Rejoignez-moi pour plus de contenu exclusif !

• 👉 YouTube : Bitcoin sans détour
• 👉 X : @bitcoinduc

📢Prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• Sur YouTube : toute l’actualité de Bitcoin et un regard averti sur l’ensemble de l’univers des cryptomonnaies.

🔔 Abonnez-vous au site pour ne manquer aucun contenu

À bientôt, DUC