{"id":6288,"date":"2026-10-22T18:06:30","date_gmt":"2026-10-22T18:06:30","guid":{"rendered":"https:\/\/bitcoinlive24.com\/news\/lightning-labs-aggiornamento-certificati-emudhra\/"},"modified":"2026-10-22T18:06:30","modified_gmt":"2026-10-22T18:06:30","slug":"lightning-labs-aggiornamento-certificati-emudhra","status":"publish","type":"post","link":"https:\/\/bitcoinlive24.com\/news\/lightning-labs-aggiornamento-certificati-emudhra\/","title":{"rendered":"Lightning Labs Aggiorna tapd e Litd: Stop ai Certificati eMudhra"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\"><strong>Lightning Labs<\/strong> ha pubblicato il 22 ottobre 2026 tre aggiornamenti del proprio software per Lightning, la rete di pagamenti di secondo livello costruita su Bitcoin: Taproot Assets (<strong>tapd v0.8.7<\/strong>), Lightning Terminal (<strong>litd v0.17.8<\/strong>) e Loop (<strong>v0.35.2-beta<\/strong>). Sono stati ricompilati con Go 1.27.3, la versione del linguaggio che dal 19 ottobre rifiuta i certificati di otto autorit\u00e0 intermedie eMudhra, le cui chiavi, secondo Mozilla, sono compromesse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le note di <a href=\"https:\/\/github.com\/lightninglabs\/taproot-assets\/releases\/tag\/v0.8.7\" target=\"_blank\" rel=\"noopener\">Taproot Assets<\/a> e di <a href=\"https:\/\/github.com\/lightninglabs\/lightning-terminal\/releases\/tag\/v0.17.8\" target=\"_blank\" rel=\"noopener\">Lightning Terminal<\/a> raccomandano a tutti gli utenti di aggiornare. <strong>BitcoinLive24<\/strong> ha letto le note di rilascio e le fonti primarie per spiegare cosa cambia per chi gestisce un nodo.<\/p>\n\n\n\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_82_2 counter-hierarchy ez-toc-counter ez-toc-transparent ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Table of Contents<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/bitcoinlive24.com\/news\/lightning-labs-aggiornamento-certificati-emudhra\/#Cosa_ha_pubblicato_Lightning_Labs_il_22_ottobre\" >Cosa ha pubblicato Lightning Labs il 22 ottobre<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/bitcoinlive24.com\/news\/lightning-labs-aggiornamento-certificati-emudhra\/#La_CVE-2026-111943_cosa_ha_cambiato_Go\" >La CVE-2026-111943: cosa ha cambiato Go<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/bitcoinlive24.com\/news\/lightning-labs-aggiornamento-certificati-emudhra\/#Lincidente_eMudhra_cosa_dicono_Mozilla_e_la_CA\" >L&#8217;incidente eMudhra: cosa dicono Mozilla e la CA<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/bitcoinlive24.com\/news\/lightning-labs-aggiornamento-certificati-emudhra\/#Perche_non_basta_aggiornare_Go_sul_computer\" >Perch\u00e9 non basta aggiornare Go sul computer<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/bitcoinlive24.com\/news\/lightning-labs-aggiornamento-certificati-emudhra\/#Domande_frequenti_sullaggiornamento_di_Lightning_Labs\" >Domande frequenti sull&#8217;aggiornamento di Lightning Labs<\/a><\/li><\/ul><\/nav><\/div>\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Cosa_ha_pubblicato_Lightning_Labs_il_22_ottobre\"><\/span>Cosa ha pubblicato Lightning Labs il 22 ottobre<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Secondo le note su GitHub, Lightning Terminal v0.17.8 \u00e8 uscito alle 01:38 UTC del 22 ottobre, Taproot Assets v0.8.7 alle 02:55 UTC e Loop v0.35.2-beta alle 16:21 UTC. Nella nota di Taproot Assets, Lightning Labs scrive di aver ricostruito <code>tapd<\/code> e <code>tapcli<\/code> con Go 1.27.3 per correggere la CVE-2026-111943: il verificatore <code>crypto\/x509<\/code> di Go ora rifiuta le catene di certificati che contengono un insieme preciso di certificati intermedi, per ragioni di sicurezza legate al loro funzionamento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Taproot Assets \u00e8 il protocollo con cui Lightning Labs permette di emettere e trasferire altri asset su Bitcoin e Lightning, mentre Loop \u00e8 il servizio per spostare fondi tra i canali Lightning e la rete principale. Lightning Terminal (litd) \u00e8 il pacchetto che riunisce <em>lnd<\/em> (il software del nodo Lightning) e gli altri servizi di Lightning Labs. La sua nota indica che i servizi inclusi sono stati compilati con Go 1.27.3 e che il pacchetto contiene lnd v0.21.5-beta.rc1, una candidata al rilascio. <a href=\"https:\/\/thedefiant.io\/news\/security\/lightning-labs-urges-immediate-updates-over-certificate-vulnerability\" target=\"_blank\" rel=\"nofollow noopener\">The Defiant<\/a> ha riportato la notizia il 22 ottobre alle 17:01 UTC; nel sommario scrive che i nuovi binari bloccano la fiducia nelle chiavi di certificato compromesse.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Software<\/th><th>Versione<\/th><th>Pubblicazione (22 ott, UTC)<\/th><th>Cosa cambia<\/th><\/tr><\/thead>\n<tbody>\n<tr><td>Lightning Terminal (litd)<\/td><td>v0.17.8<\/td><td>01:38<\/td><td>Servizi inclusi compilati con Go 1.27.3; contiene lnd v0.21.5-beta.rc1 e Taproot Assets v0.8.6<\/td><\/tr>\n<tr><td>Taproot Assets (tapd, tapcli)<\/td><td>v0.8.7<\/td><td>02:55<\/td><td>Ricompilati con Go 1.27.3; versione minima di Go portata a 1.27.3<\/td><\/tr>\n<tr><td>Loop<\/td><td>v0.35.2-beta<\/td><td>16:21<\/td><td>Versione minima di Go portata a 1.27.3, pi\u00f9 correzioni di errori<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Fonte: note di rilascio su GitHub di Lightning Labs per ciascuna versione.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"La_CVE-2026-111943_cosa_ha_cambiato_Go\"><\/span>La CVE-2026-111943: cosa ha cambiato Go<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il team di Go ha rilasciato le versioni 1.27.3 e 1.26.10 con una sola correzione di sicurezza nel pacchetto <code>crypto\/x509<\/code>. Secondo l&#8217;<a href=\"https:\/\/groups.google.com\/g\/golang-announce\/c\/66pojueaQek\" target=\"_blank\" rel=\"noopener\">annuncio ufficiale<\/a>, Go blocca la fiducia in un piccolo insieme di certificati intermedi e il metodo <code>Verify<\/code> scarta le catene che li contengono; il team raccomanda di aggiornare subito. La pagina delle <a href=\"https:\/\/go.dev\/doc\/devel\/release#go1.27.3\" target=\"_blank\" rel=\"noopener\">versioni di Go<\/a> data la 1.27.3 al 19 ottobre 2026.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">L&#8217;annuncio non nomina l&#8217;autorit\u00e0 di certificazione. Secondo <a href=\"https:\/\/www.cyberkendra.com\/2026\/10\/go-blocks-compromised-emudhra-ca-keys-in-emergency-update.html\" target=\"_blank\" rel=\"nofollow noopener\">Cyber Kendra<\/a>, il collegamento a eMudhra \u00e8 stato stabilito da un contributore sulla segnalazione di Go a partire dagli hash delle chiavi, e poi confermato da Mozilla e Chrome.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Lincidente_eMudhra_cosa_dicono_Mozilla_e_la_CA\"><\/span>L&#8217;incidente eMudhra: cosa dicono Mozilla e la CA<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Mozilla scrive sul proprio <a href=\"https:\/\/blog.mozilla.org\/security\/2026\/10\/20\/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates\/\" target=\"_blank\" rel=\"noopener\">blog della sicurezza<\/a> di aver ricevuto sabato 17 ottobre, alle 20:06 UTC, la segnalazione che le chiavi private di otto certificati intermedi di eMudhra erano state compromesse. Queste chiavi, spiega Mozilla, potrebbero permettere ad attaccanti di emettere certificati HTTPS fraudolenti per siti che non controllano. Firefox ha bloccato i certificati tramite OneCRL, la lista centralizzata dei certificati revocati: la distribuzione era completa alle 22:59 UTC dello stesso giorno per gli utenti con configurazione standard, mentre per gli altri \u00e8 servito Firefox 158.0.1, uscito il 20 ottobre.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">eMudhra, nel proprio <a href=\"https:\/\/emudhra.com\/en\/post\/certificate-security-incident\" target=\"_blank\" rel=\"noopener\">comunicato<\/a> (aggiornamento del 21 ottobre) descrive le chiavi come \u00abcryptographically weak\u00bb, cio\u00e8 crittograficamente deboli, e riferisce che un ricercatore indipendente \u00e8 riuscito a ricostruirle. La CA afferma di averle revocate tutte e otto il 18 ottobre, che nessun certificato \u00e8 stato emesso da quelle intermedie e di non essere a conoscenza di prove che le chiavi siano state recuperate o sfruttate prima della segnalazione. L&#8217;indagine di eMudhra \u00e8 ancora in corso.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Perche_non_basta_aggiornare_Go_sul_computer\"><\/span>Perch\u00e9 non basta aggiornare Go sul computer<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La nota di Taproot Assets precisa che aggiornare l&#8217;installazione di Go su un computer non corregge un binario gi\u00e0 esistente: bisogna installare i nuovi binari di rilascio oppure ricompilare dal tag v0.8.7 con Go 1.27.3. Le note di Loop spiegano il motivo: i binari di rilascio sono collegati staticamente, quindi recepiscono la nuova decisione sui certificati solo se ricompilati con una toolchain (la catena di strumenti di compilazione) aggiornata.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Chi usa canali Lightning con Taproot Assets, aggiunge la nota, deve seguire le linee guida operative di sicurezza e pianificare un aggiornamento controllato dei nodi interessati; riavviare un nodo non cancella gli HTLC in sospeso (i pagamenti condizionati ancora aperti). Prima di aggiornare, le note raccomandano di fare un backup dei database; la nota di litd segnala inoltre che il Loop incluso applica una migrazione SQL all&#8217;avvio e che le chiamate all&#8217;API Instant Out devono ora indicare il parametro <code>max_swap_fee_sat<\/code>. Sulla sicurezza dei nodi vedi anche <a href=\"https:\/\/bitcoinlive24.com\/news\/core-lightning-attacchi-nodi-aggiornamento\/\">Core Lightning avverte: attacchi ai nodi non aggiornati<\/a> e <a href=\"https:\/\/bitcoinlive24.com\/news\/eclair-lightning-falle-dos-nodi-aggiornamento\/\">Eclair: due falle DoS sui nodi Lightning<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sulla sicurezza dei layer costruiti attorno a Bitcoin vedi anche <a href=\"https:\/\/bitcoinlive24.com\/news\/liquid-network-exploit-4000-bitcoin\/\">Liquid Network: 4.000 Bitcoin sottratti, peg-out ancora fermi<\/a>. Per seguire gli aggiornamenti, <a href=\"https:\/\/bitcoinlive24.com\">scarica l&#8217;app BitcoinLive24<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Domande_frequenti_sullaggiornamento_di_Lightning_Labs\"><\/span>Domande frequenti sull&#8217;aggiornamento di Lightning Labs<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Che cos&#8217;\u00e8 un&#8217;autorit\u00e0 di certificazione intermedia?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00c8 un&#8217;entit\u00e0 autorizzata da una radice di fiducia a emettere certificati per i siti. Mozilla spiega che le chiavi compromesse di otto intermedie eMudhra potrebbero permettere ad attaccanti di emettere certificati HTTPS fraudolenti per siti che non controllano; per questo sono state bloccate.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Devo aggiornare se uso tapd, Lightning Terminal o Loop?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">S\u00ec, per tapd e litd le note di rilascio raccomandano a tutti gli utenti di aggiornare: bisogna installare i nuovi binari (tapd v0.8.7, litd v0.17.8) oppure ricompilare con Go 1.27.3 (per tapd, dal tag v0.8.7). Anche Loop v0.35.2-beta porta la versione minima di Go a 1.27.3. Per lnd, le note di v0.21.5-beta.rc1 indicano che i binari di rilascio sono compilati con Go 1.27.3, ma l&#8217;elenco delle modifiche non cita la CVE.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">I fondi sui canali Lightning sono a rischio?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Le note di rilascio che abbiamo letto non indicano perdite di fondi n\u00e9 attacchi in corso, e eMudhra afferma di non avere prove di uno sfruttamento delle chiavi prima della segnalazione. Mozilla descrive il rischio come l&#8217;impersonificazione di siti HTTPS da parte di chi intercetta la connessione; le note di Lightning Labs non specificano quali connessioni di tapd, litd o Loop siano esposte.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Lightning Labs rilascia tapd v0.8.7, litd v0.17.8 e Loop v0.35.2 con Go 1.27.3 per bloccare i certificati eMudhra. Cosa fare.<\/p>\n","protected":false},"author":4,"featured_media":6119,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[608],"tags":[],"class_list":["post-6288","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novita"],"_links":{"self":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/6288","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/comments?post=6288"}],"version-history":[{"count":0,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/6288\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media\/6119"}],"wp:attachment":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media?parent=6288"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/categories?post=6288"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/tags?post=6288"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}