Lightning Labs ha pubblicato il 22 ottobre 2026 tre aggiornamenti del proprio software per Lightning, la rete di pagamenti di secondo livello costruita su Bitcoin: Taproot Assets (tapd v0.8.7), Lightning Terminal (litd v0.17.8) e Loop (v0.35.2-beta). Sono stati ricompilati con Go 1.27.3, la versione del linguaggio che dal 19 ottobre rifiuta i certificati di otto autorità intermedie eMudhra, le cui chiavi, secondo Mozilla, sono compromesse.
Le note di Taproot Assets e di Lightning Terminal raccomandano a tutti gli utenti di aggiornare. BitcoinLive24 ha letto le note di rilascio e le fonti primarie per spiegare cosa cambia per chi gestisce un nodo.
Cosa ha pubblicato Lightning Labs il 22 ottobre
Secondo le note su GitHub, Lightning Terminal v0.17.8 è uscito alle 01:38 UTC del 22 ottobre, Taproot Assets v0.8.7 alle 02:55 UTC e Loop v0.35.2-beta alle 16:21 UTC. Nella nota di Taproot Assets, Lightning Labs scrive di aver ricostruito tapd e tapcli con Go 1.27.3 per correggere la CVE-2026-111943: il verificatore crypto/x509 di Go ora rifiuta le catene di certificati che contengono un insieme preciso di certificati intermedi, per ragioni di sicurezza legate al loro funzionamento.
Taproot Assets è il protocollo con cui Lightning Labs permette di emettere e trasferire altri asset su Bitcoin e Lightning, mentre Loop è il servizio per spostare fondi tra i canali Lightning e la rete principale. Lightning Terminal (litd) è il pacchetto che riunisce lnd (il software del nodo Lightning) e gli altri servizi di Lightning Labs. La sua nota indica che i servizi inclusi sono stati compilati con Go 1.27.3 e che il pacchetto contiene lnd v0.21.5-beta.rc1, una candidata al rilascio. The Defiant ha riportato la notizia il 22 ottobre alle 17:01 UTC; nel sommario scrive che i nuovi binari bloccano la fiducia nelle chiavi di certificato compromesse.
| Software | Versione | Pubblicazione (22 ott, UTC) | Cosa cambia |
|---|---|---|---|
| Lightning Terminal (litd) | v0.17.8 | 01:38 | Servizi inclusi compilati con Go 1.27.3; contiene lnd v0.21.5-beta.rc1 e Taproot Assets v0.8.6 |
| Taproot Assets (tapd, tapcli) | v0.8.7 | 02:55 | Ricompilati con Go 1.27.3; versione minima di Go portata a 1.27.3 |
| Loop | v0.35.2-beta | 16:21 | Versione minima di Go portata a 1.27.3, più correzioni di errori |
Fonte: note di rilascio su GitHub di Lightning Labs per ciascuna versione.
La CVE-2026-111943: cosa ha cambiato Go
Il team di Go ha rilasciato le versioni 1.27.3 e 1.26.10 con una sola correzione di sicurezza nel pacchetto crypto/x509. Secondo l’annuncio ufficiale, Go blocca la fiducia in un piccolo insieme di certificati intermedi e il metodo Verify scarta le catene che li contengono; il team raccomanda di aggiornare subito. La pagina delle versioni di Go data la 1.27.3 al 19 ottobre 2026.
L’annuncio non nomina l’autorità di certificazione. Secondo Cyber Kendra, il collegamento a eMudhra è stato stabilito da un contributore sulla segnalazione di Go a partire dagli hash delle chiavi, e poi confermato da Mozilla e Chrome.
L’incidente eMudhra: cosa dicono Mozilla e la CA
Mozilla scrive sul proprio blog della sicurezza di aver ricevuto sabato 17 ottobre, alle 20:06 UTC, la segnalazione che le chiavi private di otto certificati intermedi di eMudhra erano state compromesse. Queste chiavi, spiega Mozilla, potrebbero permettere ad attaccanti di emettere certificati HTTPS fraudolenti per siti che non controllano. Firefox ha bloccato i certificati tramite OneCRL, la lista centralizzata dei certificati revocati: la distribuzione era completa alle 22:59 UTC dello stesso giorno per gli utenti con configurazione standard, mentre per gli altri è servito Firefox 158.0.1, uscito il 20 ottobre.
eMudhra, nel proprio comunicato (aggiornamento del 21 ottobre) descrive le chiavi come «cryptographically weak», cioè crittograficamente deboli, e riferisce che un ricercatore indipendente è riuscito a ricostruirle. La CA afferma di averle revocate tutte e otto il 18 ottobre, che nessun certificato è stato emesso da quelle intermedie e di non essere a conoscenza di prove che le chiavi siano state recuperate o sfruttate prima della segnalazione. L’indagine di eMudhra è ancora in corso.
Perché non basta aggiornare Go sul computer
La nota di Taproot Assets precisa che aggiornare l’installazione di Go su un computer non corregge un binario già esistente: bisogna installare i nuovi binari di rilascio oppure ricompilare dal tag v0.8.7 con Go 1.27.3. Le note di Loop spiegano il motivo: i binari di rilascio sono collegati staticamente, quindi recepiscono la nuova decisione sui certificati solo se ricompilati con una toolchain (la catena di strumenti di compilazione) aggiornata.
Chi usa canali Lightning con Taproot Assets, aggiunge la nota, deve seguire le linee guida operative di sicurezza e pianificare un aggiornamento controllato dei nodi interessati; riavviare un nodo non cancella gli HTLC in sospeso (i pagamenti condizionati ancora aperti). Prima di aggiornare, le note raccomandano di fare un backup dei database; la nota di litd segnala inoltre che il Loop incluso applica una migrazione SQL all’avvio e che le chiamate all’API Instant Out devono ora indicare il parametro max_swap_fee_sat. Sulla sicurezza dei nodi vedi anche Core Lightning avverte: attacchi ai nodi non aggiornati e Eclair: due falle DoS sui nodi Lightning.
Sulla sicurezza dei layer costruiti attorno a Bitcoin vedi anche Liquid Network: 4.000 Bitcoin sottratti, peg-out ancora fermi. Per seguire gli aggiornamenti, scarica l’app BitcoinLive24.
Domande frequenti sull’aggiornamento di Lightning Labs
Che cos’è un’autorità di certificazione intermedia?
È un’entità autorizzata da una radice di fiducia a emettere certificati per i siti. Mozilla spiega che le chiavi compromesse di otto intermedie eMudhra potrebbero permettere ad attaccanti di emettere certificati HTTPS fraudolenti per siti che non controllano; per questo sono state bloccate.
Devo aggiornare se uso tapd, Lightning Terminal o Loop?
Sì, per tapd e litd le note di rilascio raccomandano a tutti gli utenti di aggiornare: bisogna installare i nuovi binari (tapd v0.8.7, litd v0.17.8) oppure ricompilare con Go 1.27.3 (per tapd, dal tag v0.8.7). Anche Loop v0.35.2-beta porta la versione minima di Go a 1.27.3. Per lnd, le note di v0.21.5-beta.rc1 indicano che i binari di rilascio sono compilati con Go 1.27.3, ma l’elenco delle modifiche non cita la CVE.
I fondi sui canali Lightning sono a rischio?
Le note di rilascio che abbiamo letto non indicano perdite di fondi né attacchi in corso, e eMudhra afferma di non avere prove di uno sfruttamento delle chiavi prima della segnalazione. Mozilla descrive il rischio come l’impersonificazione di siti HTTPS da parte di chi intercetta la connessione; le note di Lightning Labs non specificano quali connessioni di tapd, litd o Loop siano esposte.
