報道によると、ACINQは2026/10/20、Lightningノードソフトウェア「Eclair」のセキュリティを強化するv0.14.5を公開した。公開された断片情報や続報では、修正された問題の一部は悪意あるノードに悪用される可能性があったとされる。今回のリリースは、ブラウザ経由のアクセスにおけるAPIの挙動を厳格化したと別途報じられたv0.14.4の5日後に行われた。

v0.14.4の後でもv0.14.5が重要な理由

現在の報道では、v0.14.5は10月15日の更新を改めて告知したものではなく、2度目のセキュリティリリースと位置付けられている。ACINQのSNS投稿の断片と転載されたリリースノートでは、2026/10/20版はセキュリティ強化パッチと説明され、一部の問題は悪意あるノードに悪用され得るとして、ノード運用者に強くアップグレードを推奨している。

PrimeXBTによれば、先行するv0.14.4の公開でパッチ対応が完了したわけではなかった。v0.14.4はブラウザ起点のAPI悪用経路に対処し、v0.14.5ではピア関連の問題への防御が加えられたという。実際、すでにv0.14.4へ移行した運用者も、その5日後に再度のアップグレードを求められたことになる。

ブラウザダッシュボードとノードAPIで変わった点

ブラウザダッシュボードに関する変更は、v0.14.5で新たに導入されたものではなく、先行するv0.14.4のセキュリティ強化に伴うものとみられる。PrimeXBTとTokenPostは、EclairがOriginヘッダー付きのAPIリクエストを拒否するようになり、ブラウザからノードAPIへ直接呼び出す経路が遮断されたと報じた。

この仕組みは、ブラウザダッシュボードがノードと直接通信できなくなった理由を説明するものだ。これらの報道によれば、ブラウザベースの管理ツールは今後、バックエンドの中継層を介する必要がある一方、コマンドラインからのアクセスは引き続き可能だという。ブラウザ中心の管理フローを構築していたチームにとって、その影響は通常のパッチ適用にとどまらない。

現時点で運用者がアップグレードから読み取れること

現在の報道で影響対象とされるのはEclairノードの運用者で、特に外部ピアと接続する本番ノードや、ブラウザベースの管理インターフェースを利用する運用者だ。リリースノートを転載したFreedom.Techの断片情報によると、v0.14.5は従来のEclairバージョンと互換性があり、既存チャネルを閉じることなく、Eclairを停止して更新をインストールし、再起動することで適用できる。

一方、ピア関連の脆弱性について、技術的な影響範囲の境界は依然として明らかではない。TokenPostとクリプトスレートは、確認した公開リリース資料には詳細な攻撃手法や、影響を受ける旧バージョンの確定的な一覧が記載されていなかったと報じた。したがって、運用者が直ちに取るべき対応は明確だが、公開情報だけでは、脆弱な全バージョンや悪意あるノードが問題を悪用できる正確な条件について断定できない。