La politique publiée par Bitcoin Core en matière d’avis de sécurité conditionne la divulgation des vulnérabilités à la fois à leur gravité et au statut de support du logiciel. Les failles de faible gravité sont divulguées deux semaines après la sortie d’une version majeure qui les corrige, tandis que les failles de gravité moyenne ou élevée le sont deux semaines après la fin de vie de la dernière version affectée. Un Flash fourni, daté du 2025-10-23, ajoute que les bugs faciles à découvrir pourraient désormais être traités plus rapidement, mais cette disposition précise liée aux LLM n’a pas été retrouvée dans les textes officiels examinés.

Le fonctionnement des divulgations de vulnérabilités selon Bitcoin Core

La politique officielle « Security Advisories » de Bitcoin Core n’applique pas un calendrier de divulgation unique à tous les bugs. Elle distingue au contraire les délais selon la gravité de la faille et selon l’étape du cycle de publication à laquelle le correctif est intégré.

Selon cette politique, les vulnérabilités de faible gravité sont divulguées deux semaines après la sortie d’une version majeure intégrant le correctif. Les vulnérabilités de gravité moyenne et élevée sont divulguées deux semaines après la fin de vie de la dernière version affectée. Le résumé de la politique indique que ce second délai intervient environ un an après la première publication majeure contenant le correctif.

Pour les utilisateurs, la conséquence pratique est claire : le moment de publication d’un avis ne dépend pas seulement de l’existence d’un correctif. Il dépend aussi du fait que les anciennes branches affectées soient encore prises en charge.

Comment les fenêtres de support déterminent les utilisateurs avertis et le moment où ils le sont

Les documents de publication de Bitcoin Core montrent que cette politique ne constitue pas seulement un cadre de gouvernance. Elle est directement appliquée dans les annonces de cycle de vie des versions, qui indiquent aux utilisateurs quand les anciennes branches cessent de recevoir des mises à jour et à quel moment certains détails de vulnérabilités peuvent ensuite être publiés.

Dans l’annonce de la version Bitcoin Core 29.0, datée du 2025-04-14, le projet indiquait que les versions 26.x et antérieures avaient atteint la fin de maintenance et ne recevraient plus de mises à jour. Il précisait également que, deux semaines après cette publication, les vulnérabilités de gravité moyenne et élevée affectant les versions 26.x, le cas échéant, seraient divulguées, de même que les vulnérabilités de faible gravité affectant les versions 28.x.

Les documents relatifs à la version 31.0 appliquent la même logique. Ils indiquent que les versions 28.x et antérieures étaient en fin de vie et annoncent une divulgation deux semaines plus tard des vulnérabilités de gravité moyenne ou élevée corrigées dans la version 29.0. Ils précisent également qu’aucune vulnérabilité de faible gravité corrigée dans la version 31.0 ne devait être divulguée dans ce cadre.

La conséquence pratique est simple : les opérateurs utilisant des branches plus anciennes ne peuvent pas se contenter de consulter les notes de mise à jour. Ils doivent aussi suivre le statut de support de leur ligne de version, car celui-ci influence le moment où des informations de sécurité plus détaillées peuvent devenir publiques.

Ce que l’affirmation actuelle liée à l’IA ajoute, et ce qui reste non vérifié

Le Flash fourni présente l’événement actuel comme une évolution de politique motivée par la capacité croissante des grands modèles de langage à aider les chercheurs à découvrir des bugs. Il affirme que les vulnérabilités faciles à identifier avec peu d’efforts seraient corrigées dans toutes les versions majeures prises en charge et feraient l’objet d’un avis de sécurité au moment même de la publication de la mise à jour.

Cette affirmation peut correspondre à un ajustement réel et récent, mais les extraits officiels examinés étayent une conclusion plus limitée. Dans un message publié le 2024-09-19 sur une liste de diffusion, Antoine Poinsot décrivait déjà un avis public affectant les versions de Bitcoin Core antérieures à 24.0.1 comme s’inscrivant dans l’adoption progressive par le projet d’une nouvelle politique de divulgation des vulnérabilités. Les sources primaires disponibles indiquent donc que ce déploiement était déjà en cours avant la date de 2025 mentionnée dans le Flash.

L’interprétation la plus juste n’est donc pas que Bitcoin Core ne disposait jusqu’à présent d’aucun cadre de ce type. La politique de divulgation fondée sur la gravité et le cycle de vie des versions apparaît déjà dans les documents officiels, tandis que l’affirmation plus précise du Flash concernant les bugs faciles à découvrir ou assistés par LLM constitue l’ajout actuellement rapporté. Il en va de même pour l’attribution par le Flash à Poinsot de l’idée selon laquelle de longues périodes de confidentialité laissaient aux utilisateurs le temps de se mettre à niveau, mais compliquaient le portage des correctifs vers les anciennes versions : ce raisonnement correspond au cadre vérifié fondé sur le cycle de vie, mais la déclaration originale n’a pas été examinée ici.