Mchimbaji angeweza kusukuma faili la undo la Bitcoin Core kupita 4 GiB, nafasi zake za biti 32 zikajizungusha na kuharibu data, kisha nodi kuzimika iwapo reorg inayofaa itafuata; Windows na mifumo ya biti 32 hushindwa kwenye 2 GiB bila reorg yoyote. CVE-2026-117346 ina ukali wa chini na ingehitaji takriban mwezi mmoja wa bloku zote za mtandao. Matoleo 32.1, 31.2, 30.4 na 29.5 yanarekebisha mifumo ya biti 64; nodi za biti 32 na hifadhi ya bloku kwenye FAT32 bado zimo hatarini.
Ufuatiliaji wa exception za socket sasa unafanana kati ya poll() na select() katika Bitcoin Core 29.5 (#36665), na peer zilizositishiwa utumaji zimewekewa kikomo cha muda (#36667). Nafasi za flatfile zinahamia integer za biti 64 (#36669), nodi zinachukulia kuwa anwani kutoka kwa seeds zinatumia v2transport, na DNS seed moja imeondolewa.
Kwa kujifanya haitumii ping za BIP 31, peer hasidi ingeweza kukwepa kukatwa baada ya dakika 20 na kusoma polepole, ikivimbisha foleni ya utumaji ya nodi hadi 2MB kwa saa kwa kila peer inayoingia na 5MB kwa kila inayotoka. CVE-2026-117349, yenye ukali wa kati, imerekebishwa na #36667 katika Bitcoin Core 32.1, 31.2, 30.4 na 29.5; nodi za -blocksonly zilikuwa katika hatari ndogo zaidi.
Nodi za Windows, macOS na BSD zingeweza kuangushwa na peer iliyounganishwa inayotuma TCP urgent data, ambayo ilipenya usomaji uliositishwa katika backend ya select() na kurundika kumbukumbu bila kikomo (CVE-2026-117350). Nodi za Linux hutumia poll() na haziathiriki. Bitcoin Core 32.1, 31.2, 30.4 na 29.5 zinarekebisha hitilafu hii ya ukali wa kati, iliyogunduliwa na skani ya LLM chini ya Project Loupe.
Biti 5 hadi 28 za BIP 9 hazichukuliwi tena kama ishara za soft fork katika Bitcoin Core 30.4, kwa kufuata BIP 323, hivyo bloku zinazoziweka hazizushi tena onyo la deployment isiyojulikana (#34779). Upande wa mtandao, peer zilizositishiwa utumaji sasa zinawekewa kikomo cha muda (#36667), nazo nafasi za flatfile zinatumia integer za biti 64 (#36669).
Private broadcast inapata kikomo katika Bitcoin Core 31.2: foleni ya miamala ambayo bado haijarudi kutoka mtandaoni inaishia kwenye vipengee 10,000 na hukataa mawasilisho mapya ikijaa, hivyo wanaoitumia lazima waisafishe kwa abortprivatebroadcast (#35406). Biti za toleo 5 hadi 28 hazihesabiwi tena kama ishara za soft fork, kulingana na BIP 323.
Private broadcast ya Bitcoin Core 32.1 haihatarishi tena kufichua anwani ya IP ya mtumaji, uvujaji uliowezekana pale muunganisho wa v2 ulioshindwa ulipojaribiwa tena kwa v1 moja kwa moja badala ya kupitia Tor. Thamani chaguomsingi ya -maxconnections inapanda kutoka 125 hadi 200, na kasi ya kusambaza miamala sasa inadhibitiwa na foleni ya pamoja badala ya kila peer peke yake.
Usomaji na uandishi mzito wa diski wakati wa uendeshaji wa kawaida ulitokana na hitilafu iliyorekebishwa katika Bitcoin Core 29.4: hifadhidata ya chainstate iliendelea kuandika upya sehemu kubwa zake. Marekebisho yanazima seek compaction ya LevelDB na kubana chainstate mara kwa mara (#35465).
Uandishi usiokoma wa chainstate kwenye diski unakwisha katika Bitcoin Core 30.3, ambayo pia inarekebisha kuanguka kwa feebumper wakati ada ya pamoja ya bump haipatikani (#34870) na hitilafu ya coin selection iliyokokotoa kiasi kama boolean (#34888). Kwa upande wa PSBT, pubkey za MuSig2 sasa zinathibitishwa wakati wa deserialization ya pubnonce na saini za sehemu (#34219).
Uvujaji wa anwani ya IP katika -privatebroadcast umezibwa na Bitcoin Core 31.1: baadhi ya miunganisho ilipita clearnet badala ya mtandao wa faragha uliowezeshwa. Sasisho hilo pia linakomesha uandishi upya wa chainstate uliosababisha shughuli nyingi za diski, na linakataa orodha tupu ya pubkey katika uunganishaji wa funguo wa MuSig2 (#35316).
Handshake ya v2 ikishindwa inaweza kufichua anwani ya IP ya mtumaji katika Bitcoin Core 31.0: -privatebroadcast ikiwa imewashwa, jaribio la pili kwa v1 linaruka proxy ya Tor na kuunganisha moja kwa moja na peer. Kichocheo kinachowezekana ni peer hasidi inayofunga handshake kwa makusudi. Mpaka 31.1 itakapotoka, watumiaji wanaweza kuzima kipengele hicho, kuweka -v2transport=0 au kupitisha miunganisho ya nje ya IPv4/IPv6 kupitia Tor.
Matoleo ya Bitcoin Core baada ya 0.14.0 na kabla ya 29.0 yangeweza kusoma kumbukumbu iliyokwishaachiliwa wakati wa kuthibitisha bloku batili iliyotengenezwa kwa hila, na kuiangusha nodi. CVE-2024-52911 ina ukali wa juu, ingawa mshambuliaji lazima atumie proof-of-work halali kwenye ncha ya mnyororo, na utekelezaji wa msimbo kwa mbali unachukuliwa kuwa na uwezekano mdogo. Cory Fields aliiripoti; marekebisho yamo katika 29.0.
Cluster mempool inachukua nafasi ya muundo wa zamani katika Bitcoin Core 31.0: mipaka ya ancestor na descendant inaachia clusters zenye kikomo cha miamala 64 na 101 kB, na CPFP carveout imeondolewa. Thamani chaguomsingi ya -dbcache inapanda hadi 1024 MiB kwenye mashine zenye angalau 4096 MiB za RAM, na chaguo jipya la -privatebroadcast linapeleka miamala ya sendrawtransaction kupitia Tor au I2P pekee.
Hitilafu mbili zinazohusu pochi zisizo na jina zimerekebishwa katika Bitcoin Core 28.4: uhamishaji wa pochi za legacy (#34156) na createfromdump, ambayo ilipokwama ilifuta saraka ya pochi (#34215). DNS seed moja pia imeondolewa kwenye chainparams (#33723).
Peer zinazotuma miamala inayokiuka consensus haziadhibiwi tena na Bitcoin Core 29.3 (#33050). Uthibitishaji unapata cache ya sighash midstate kwa kila input kwa script za legacy, P2SH na segwit v0 (#32473) na unagundua witness stripping bila kuendesha tena ukaguzi wa Script (#33105), na unsigned integer overflow katika addPackageTxs ya mchimbaji imeondolewa (#33475).
Kushindwa kuhamisha pochi za legacy zisizo na jina ni historia katika Bitcoin Core 30.2 (#34156), na createfromdump haifuti tena saraka ya pochi inaposhindwa kwenye mojawapo (#34215). Kubonyeza Ctrl-C hakusababishi tena kukwama wakati wa miito ya IPC wait (#33511).
Katika hali nadra, uhamishaji wa wallet.dat unaoshindwa katika Bitcoin Core 30.0 au 30.1 unaweza kufuta kila faili katika saraka ya pochi, na kuhatarisha fedha. Wasanidi wameondoa binaries hizo na wanaomba watumiaji wasihamishe pochi kupitia GUI au RPC hadi 30.2 itoke. Hitilafu inahitaji wallet.dat chaguomsingi isiyo na jina ambayo inashindwa kuhamishwa au kupakiwa; watumiaji wengine hawaathiriki.
Pochi za Bitcoin Core 30.1 hazizingatii tena sarafu za TRUC ambazo hazijathibitishwa na zenye ancestors (#33528). Kwa upande wa IPC, chaguo hazihitaji tena hoja ya -m (#33229), kuandika logi za ujumbe kunagharimu kidogo zaidi (#33517) na miito ya waitNext inayoendelea inaweza kughairiwa (#33676).
Miamala ya non-standard iliyotengenezwa kwa hila ingeweza kushikilia nodi ya Bitcoin Core kwa sekunde chache kila mmoja bila mtumaji kukatwa, na hivyo kumpa mshambuliaji njia ya kuchelewesha usambazaji wa bloku. CVE-2025-46598, yenye ukali wa chini, iliripotiwa na Antoine Poinsot na ikadhibitiwa katika v30.0 kwa kufupisha muda wa uthibitishaji katika hali mbaya zaidi.
Bloku za zaidi ya 1GB zingeweza kusababisha overflow katika ukaguzi wa ukubwa kwenye nodi za Bitcoin Core za biti 32 na kuziangusha wakati wa kuandika diskini, lakini tu kama compact block, na tu kwa mwathirika anayetumia -maxmempool ya zaidi ya 3GB yenye miamala ya 1GB ndani. Pieter Wuille aligundua CVE-2025-46597, yenye ukali wa chini; kikomo cha -maxmempool kwenye mifumo ya biti 32 kiliifunga katika 29.1 na 30.0.
