Thảo luận về TCP hole punching nhằm giúp các nút tại nhà phía sau router có thể truy cập được vẫn tiếp diễn. Bản tin cũng đề cập dự thảo BIP chuẩn hóa các chính sách chi tiêu do co-signer thực thi khi mô phỏng covenants.
Greg Sanders, Antoine Poinsot, Elias Rohrer, Oleksandr Kurbatov và Nishant Bansal cùng nhóm dẫn chương trình Optech điểm lại số #429, mở đầu bằng Bitcoin Core #36665, #36667 và #36669 rồi chuyển sang chính sách bảo mật vừa cập nhật. Phần sau bàn về silent payments đa bên, vụ công bố lỗi DoS của Core Lightning và Eclair 0.14.6; bản ghi lời hiện chưa có.
Chỉ tốn phí on-chain, kẻ tấn công có thể gửi một thông báo kênh ghi cùng một nút ở cả hai đầu và khiến Core Lightning từ 25.02 đến 26.04 sập mỗi lần khởi động lại; bản vá nằm trong 26.04.1. Bản tin #429 đăng vụ công bố này cùng giao thức của Oleksandr Kurbatov cho đầu vào silent payment đa bên và việc Bitcoin Core đẩy nhanh các bản point release với những lỗi dễ phát hiện.
Giả vờ không hỗ trợ ping của BIP 31, một peer độc hại có thể né lệnh ngắt kết nối sau 20 phút rồi đọc thật chậm, làm hàng đợi gửi của nút phình thêm tối đa 2MB mỗi giờ với mỗi peer chiều vào và 5MB với mỗi peer chiều ra. CVE-2026-117349, mức trung bình, được #36667 xử lý trong Bitcoin Core 32.1, 31.2, 30.4 và 29.5; nút chạy -blocksonly ít bị ảnh hưởng hơn nhiều.
Giám sát ngoại lệ socket giờ thống nhất giữa poll() và select() trong Bitcoin Core 29.5 (#36665), và peer bị tạm dừng gửi phải chịu thời gian chờ (#36667). Vị trí flatfile chuyển sang số nguyên 64-bit (#36669), nút mặc định coi địa chỉ lấy từ seed là hỗ trợ v2transport, và một DNS seed bị gỡ.
Một thợ đào có thể đẩy tệp undo của Bitcoin Core vượt 4 GiB, khiến vị trí 32-bit quay vòng và làm hỏng dữ liệu; nút sẽ tắt nếu sau đó xảy ra đúng kiểu reorg. Trên Windows và hệ 32-bit, lỗi xuất hiện ngay ở 2 GiB mà không cần reorg. CVE-2026-117346 xếp mức thấp và cần chừng một tháng toàn bộ khối của mạng. Các bản 32.1, 31.2, 30.4 và 29.5 vá cho hệ 64-bit; nút 32-bit và lưu khối trên FAT32 vẫn bị ảnh hưởng.
Nút chạy Windows, macOS và BSD có thể bị một peer đang kết nối đánh sập bằng dữ liệu khẩn TCP: loại dữ liệu này lọt qua cơ chế tạm dừng đọc của backend select() và chiếm bộ nhớ không giới hạn (CVE-2026-117350). Nút Linux dùng poll() nên không bị ảnh hưởng. Lỗi mức trung bình này do một đợt quét bằng LLM thuộc Project Loupe phát hiện và đã được vá trong Bitcoin Core 32.1, 31.2, 30.4 và 29.5.
Bitcoin Core 30.4 thôi coi các bit 5 đến 28 của BIP 9 là tín hiệu soft fork, theo BIP 323, nên khối bật những bit này không còn gây cảnh báo về đợt triển khai không xác định (#34779). Về mạng, peer bị tạm dừng gửi giờ phải chịu thời gian chờ (#36667), còn vị trí flatfile chuyển sang số nguyên 64-bit (#36669).
Private broadcast có mức trần trong Bitcoin Core 31.2: hàng đợi các giao dịch chưa được mạng phản hồi lại dừng ở 10.000 mục và từ chối yêu cầu mới khi đầy, bên gọi phải tự dọn bằng abortprivatebroadcast (#35406). Các version bit từ 5 đến 28 cũng thôi được tính là tín hiệu soft fork, theo BIP 323.
Private broadcast trong Bitcoin Core 32.1 hết nguy cơ lộ IP người gửi: trước đây, khi kết nối v2 thất bại, lần thử lại qua v1 có thể đi thẳng thay vì qua Tor. -maxconnections mặc định tăng từ 125 lên 200, còn chuyển tiếp giao dịch đi được giới hạn tốc độ bằng một hàng chờ chung thay vì theo từng peer.