Ev yönlendiricilerinin arkasındaki düğümleri erişilebilir kılmak için TCP hole punching tartışması sürüyor. Bülten ayrıca covenants emülasyonunda ortak imzacıların uyguladığı harcama politikalarını standartlaştırmaya yönelik bir BIP taslağını ele alıyor.
Optech sunucularının Greg Sanders, Antoine Poinsot, Elias Rohrer, Oleksandr Kurbatov ve Nishant Bansal'ı ağırladığı #429 özetinde ilk sırada Bitcoin Core #36665, #36667 ve #36669 var, ardından güncellenen güvenlik politikasına geçiliyor. Sonraki bölümlerde çok taraflı sessiz ödemeler, Core Lightning'deki DoS açığının duyurulması ve Eclair 0.14.6 ele alınıyor; konuşma dökümü henüz yayımlanmadı.
Aynı düğümü iki ucunda da gösteren bir kanal duyurusu, Core Lightning 25.02 ile 26.04 arasındaki sürümleri her yeniden başlatmada çökertebiliyordu; saldırganın tek masrafı zincir üstü işlem ücretiydi. Düzeltme 26.04.1'de geldi. #429 sayısında bu duyurunun yanında Oleksandr Kurbatov'un çok taraflı sessiz ödeme girdileri için protokolü ve Bitcoin Core'un kolay keşfedilen hatalarda ara sürümleri hızlandırması yer alıyor.
BIP 31 ping desteği yokmuş gibi davranan kötü niyetli bir eş, 20 dakikalık bağlantı kesmeden kaçıp yavaş okuyarak düğümün gönderim kuyruğunu gelen eş başına saatte 2MB'a, giden eş başına 5MB'a kadar şişirebiliyordu. Orta dereceli CVE-2026-117349, Bitcoin Core 32.1, 31.2, 30.4 ve 29.5'e giren #36667 ile kapatıldı; -blocksonly düğümler çok daha az risk altındaydı.
Soket istisnalarının izlenmesi Bitcoin Core 29.5'te poll() ve select() arasında eşitlendi (#36665), duraklatılmış gönderim eşlerine de zaman aşımı zorunlu hale geldi (#36667). Flatfile konumları 64 bit tam sayıya geçerken (#36669) düğümler seed kaynaklı adreslerde v2transport varsayıyor, bir DNS seed ise listeden çıkarıldı.
Bir madenci, Bitcoin Core'un undo dosyasını 4 GiB'ın ötesine taşırıp 32 bit konumların başa dönmesine ve verinin bozulmasına yol açabilir; uygun bir reorg gelirse düğümler kapanıyor. Windows ve 32 bit sistemlerde sınır 2 GiB, reorg da gerekmiyor. Düşük dereceli CVE-2026-117346 için ağdaki tüm blokların yaklaşık bir aylığı gerekiyor. 32.1, 31.2, 30.4 ve 29.5 sürümleri 64 bit sistemleri düzeltiyor; 32 bit düğümler ile FAT32 blok depolaması etkilenmeye devam ediyor.
Windows, macOS ve BSD düğümleri, bağlı bir eşin gönderdiği TCP acil verisiyle çökertilebiliyordu: bu veri select() arka ucunda duraklatılmış okumaları aşıyor, bellekte sınırsızca birikiyordu (CVE-2026-117350). poll() kullanan Linux düğümleri etkilenmiyor. Orta önem dereceli hatayı Project Loupe kapsamındaki bir LLM taraması buldu; düzeltme Bitcoin Core 32.1, 31.2, 30.4 ve 29.5'te.
Bitcoin Core 30.4, BIP 323 doğrultusunda BIP 9'un 5 ile 28 arasındaki bitlerini artık soft fork sinyali saymıyor; bu bitleri işaretleyen bloklar bilinmeyen dağıtım uyarısı tetiklemiyor (#34779). Ağ tarafında duraklatılmış gönderim eşlerine zaman aşımı uygulanıyor (#36667), flatfile konumları da 64 bit tam sayıya geçiyor (#36669).
Bitcoin Core 31.2'de özel yayına tavan geldi: ağdan henüz geri yankılanmamış işlemlerin kuyruğu 10.000 kayıtta duruyor, dolunca yeni gönderimleri reddediyor ve temizleme işi abortprivatebroadcast ile çağırana kalıyor (#35406). BIP 323 uyarınca 5-28 arası sürüm bitleri de soft fork sinyali sayılmıyor.
Bitcoin Core 32.1'de özel yayın artık gönderenin IP adresini açığa çıkarma riski taşımıyor: sızıntı, başarısız bir v2 bağlantısının v1 ile yeniden denenirken Tor'u atlayıp doğrudan çıkmasından kaynaklanabiliyordu. Varsayılan -maxconnections 125'ten 200'e çıktı; giden işlem aktarımında hız sınırı da eş başına değil, genel bir birikim üzerinden işliyor.