LND 0.21.6, il software per nodi Lightning di Lightning Labs, è uscito il 30 ottobre 2026 con un avviso di sicurezza in cima alle note di rilascio: il difetto non è in LND ma nel kernel Linux, ed è tracciato come CVE-2026-98432. La nuova versione disattiva per impostazione predefinita i listener MPTCP (Multipath TCP, una variante del protocollo TCP che usa più percorsi di rete insieme), la via usata dall’exploit dimostrato. Per il team di LND si tratta di una mitigazione e non di una correzione: l’unico rimedio vero è un kernel aggiornato. Lo segnala BitcoinLive24 perché riguarda chiunque gestisca un nodo Lightning su Linux.
LND 0.21.6 e la falla del kernel Linux: cosa è successo
LND 0.21.6-beta è stato pubblicato su GitHub alle 23:21 UTC del 30 ottobre 2026, poco dopo la 0.20.7-beta (22:37 UTC), che riporta lo stesso avviso. Secondo le note di rilascio, il comportamento di fondo è questo: le versioni 0.21.x, compilate con Go 1.24 o successivo, aprivano per impostazione predefinita listener MPTCP sulle porte dei peer, di gRPC e di REST. Da questa versione LND torna al TCP semplice.
La falla del kernel è un use-after-free (l’uso di memoria già liberata) nella gestione dell’handshake TCP su IPv4. La descrizione nella scheda NVD spiega che un SYN ritrasmesso, in corsa con l’elaborazione del primo, può far liberare il socket figlio mentre il kernel sta ancora costruendo la risposta SYNACK. La scheda è stata pubblicata il 15 ottobre 2026 e riporta un punteggio CVSS 3.1 di 9,8 su 10, assegnato da una fonte secondaria; al 31 ottobre lo stato è «Received», cioè l’analisi NVD non è conclusa.
L’allarme per i nodi nasce dall’annuncio del Go Security Team, rilanciato il 30 ottobre sulla lista oss-security: l’exploit dimostrato, descritto da Anthropic, ottiene l’esecuzione di codice da remoto su un server con un listener MPTCP, e dalla versione 1.24 i programmi Go abilitano MPTCP sui socket in ascolto su Linux. Windows e macOS, precisano le note di LND, non sono interessati.
Perché è importante per chi gestisce un nodo Lightning
Un nodo LND pubblico ha porte raggiungibili da chiunque. Secondo la segnalazione su GitHub (issue 11455), aperta il 30 ottobre da un utente che ha verificato il problema su LND 0.21.4 con Ubuntu 22.04, i nodi annunciano il proprio indirizzo nel gossip, quindi un elenco di nodi con listener MPTCP sulla porta 9735 si ricava facilmente. Sempre secondo quella segnalazione, l’impatto è a livello di kernel, non si limita all’utente con cui gira LND e i container non bastano a contenerlo.
Non è una vulnerabilità del protocollo Bitcoin né di Lightning, e le fonti consultate non parlano di fondi sottratti. Il rischio descritto riguarda la sicurezza della macchina che ospita il nodo.
Le reazioni: Go e LND parlano di mitigazione, non di cura
Il Go Security Team scrive che la soluzione migliore è installare un kernel corretto. Aggiunge che il bug non è specifico di MPTCP e che sistemi senza listener MPTCP potrebbero essere vulnerabili ad attacchi simili; disattivare MPTCP programma per programma è, nelle sue parole, una mitigazione «fragile», perché basta dimenticare un solo listener esposto. Per ora il team ritiene prematuro cambiare il comportamento predefinito di Go.
Le note di LND seguono la stessa linea e indicano tre passi, da eseguire in ordine.
| Passo | Cosa fare | Perché |
|---|---|---|
| 1 | Aggiornare a LND 0.21.6 (o 0.20.7) | LND non apre più listener MPTCP: chiude il percorso dell’exploit dimostrato |
| 2 | Eseguire sudo sysctl -w net.mptcp.enabled=0 | Protegge anche gli altri servizi sulla stessa macchina; con Docker serve --sysctl net.mptcp.enabled=0 |
| 3 | Installare un kernel corretto appena la distribuzione lo rilascia | È l’unica correzione vera della falla |
Fonte della tabella: le note di rilascio di LND 0.21.6 e la pagina della release. Per verificare, le note suggeriscono sudo ss -Mlnp | grep lnd, che non deve stampare nulla. Chi non può aggiornare subito può avviare il binario esistente con GODEBUG=multipathtcp=0, senza riattivare MPTCP finché il kernel non è corretto.
Cosa aspettarsi nei prossimi giorni
Secondo la segnalazione su GitHub, al 30 ottobre i kernel corretti per Ubuntu 22.04 e 24.04 non erano ancora disponibili. Fino ad allora restano le mitigazioni: MPTCP disattivato sull’host e, secondo la issue 11455, una regola firewall che scarta i pacchetti TCP IPv4 con opzioni IP, valida per tutti i servizi della macchina, Docker compreso. Le fonti consultate riguardano solo LND.
BitcoinLive24 si era occupata di recente di LND 0.21.5-rc1 e del tetto alle stime di fee, della falla che mandava in crash Core Lightning e delle due falle DoS di Eclair.
Scarica l’app BitcoinLive24 per ricevere le novità sulla sicurezza della Lightning Network.
Domande frequenti su LND 0.21.6 e CVE-2026-98432
Cos’è CVE-2026-98432?
È una vulnerabilità use-after-free nella gestione TCP su IPv4 del kernel Linux, pubblicata il 15 ottobre 2026 con punteggio CVSS 3.1 di 9,8 su 10. Non riguarda il codice di LND: l’exploit dimostrato richiede un listener MPTCP, che i programmi Go dalla versione 1.24 abilitano per impostazione predefinita su Linux.
Aggiornare LND basta a mettere al sicuro il nodo?
No. L’aggiornamento a 0.21.6 chiude il percorso dell’exploit dimostrato attraverso LND, ma secondo le sue note è una mitigazione. Servono anche MPTCP disattivato sull’host e, appena disponibile, un kernel corretto.
Chi usa Windows o macOS è a rischio?
No, secondo le note di rilascio di LND: Windows e macOS non sono interessati. La falla è nel kernel Linux.
