Faille de sécurité Alby Hub : comment vérifier si votre nœud Lightning Bitcoin est accessible depuis Internet

Si vous exploitez votre propre nœud sur le réseau Lightning avec le logiciel Alby Hub, vous avez une tâche précise depuis le 9 septembre 2026 : relever le numéro de version. S’il s’agit d’une version comprise entre la v1.7.0 et la v1.18.5 et que l’interface d’administration est accessible depuis Internet, un attaquant peut, selon l’éditeur, obtenir un accès non autorisé et vider les fonds. La réponse à la question centrale se trouve donc d’emblée : vérifier la version, fermer l’accès depuis le réseau, passer à la v1.24.0, puis changer le mot de passe de déverrouillage.

Tout le reste de cet article répond aux questions qui en découlent. Qui est réellement concerné par ce défaut, à quoi voyez-vous que votre installation n’a jamais été vulnérable, et pourquoi le correctif est-il plus ancien que l’alerte qui circule aujourd’hui dans la presse spécialisée.

Ce qu’est Alby Hub et qui utilise réellement ce logiciel

Alby Hub est un logiciel qui vous permet d’exploiter vous-même un nœud sur le réseau Lightning. Le réseau Lightning est une couche de paiement adossée à Bitcoin, qui transfère de petits montants presque instantanément et à très faible coût : deux participants ouvrent un canal de paiement et seules l’ouverture et la fermeture de ce canal sont inscrites dans la blockchain. Un nœud, dans cette image, est la machine qui maintient ces canaux ouverts et achemine les paiements.

La différence avec une application de portefeuille ordinaire est décisive ici. Une application sur téléphone se connecte au service d’un tiers et n’a pas d’adresse propre sur le réseau. Alby Hub, lui, est un programme qui tourne en permanence, sur une petite machine à la maison, sur un serveur loué ou comme application sur un ordinateur de bureau. Et un programme qui tourne en permanence dispose d’une interface pour l’administrer.

C’est exactement cette interface qui est au cœur de l’alerte du 9 septembre. Les personnes concernées sont donc celles qui traitent elles-mêmes leurs paiements en bitcoins au lieu de les faire traiter. Pour la variante hébergée par Alby, aucune des publications ne fait état d’un cas.

Les versions d’Alby Hub concernées : de la v1.7.0 à la v1.18.5

L’éditeur a classé le défaut comme critique et a délimité clairement la plage concernée : les versions v1.7.0 à v1.18.5 incluse, toutes publiées avant août 2025. À partir de la série 1.19, le défaut est corrigé. D’après les publications parues jusqu’ici, un seul utilisateur est confirmé comme touché.

Aucun numéro CVE, l’identifiant international normalisé d’une vulnérabilité, n’apparaît dans les publications du 9 septembre. L’éditeur a annoncé qu’il fournirait les détails techniques plus tard, comme le veut l’usage d’une divulgation responsable : le plus grand nombre possible d’exploitants doit d’abord avoir mis à jour, ensuite seulement le fonctionnement précis de l’attaque est décrit. Pour vous, cela signifie que vous ne pouvez pas encore refaire vous-même le raisonnement de l’éditeur. La conduite à tenir, elle, n’en dépend pas.

Un point qui se perd volontiers dans l’agitation : la plage de versions ne décide pas à elle seule. Une ancienne version sur une machine accessible uniquement depuis le réseau domestique n’a jamais été vulnérable, selon la description de l’éditeur. Le numéro de version est une moitié de la vérification, l’accessibilité est l’autre.

Pourquoi seule une API d’administration exposée publiquement est vulnérable

L’API d’administration est l’interface par laquelle Alby Hub se pilote : ouvrir des canaux, déclencher des paiements, attribuer des accès à des applications. Une interface de programmation de ce type est, au fond, une adresse qui accepte des commandes. Placée derrière la porte d’entrée de votre réseau, elle n’est atteignable que par qui se trouve déjà sur ce réseau. Ouverte sur Internet, elle est atteignable par quiconque connaît ou découvre l’adresse.

Selon l’éditeur, le défaut ne devient exploitable que dans cette seconde configuration. Celui qui a sciemment rendu son nœud accessible depuis l’extérieur, par exemple pour le piloter depuis son téléphone en déplacement, appartient au groupe exposé. Celui qui ne l’utilise que sur son réseau domestique n’en fait pas partie.

Cette distinction explique pourquoi la première mesure recommandée n’est pas la mise à jour mais la fermeture. Une mise à jour demande quelques minutes et, au besoin, un redémarrage. Retirer l’accès depuis Internet ne demande qu’une manipulation sur le routeur et agit immédiatement.

Vérifier la version d’Alby Hub : où se trouve le numéro et ce qu’il vous dit

L’interface d’Alby Hub comporte une page d’informations où figurent la version ainsi que le backend de nœud utilisé ; les notes de version de la v1.24.0 renvoient précisément à cette page. Vous y relevez la chaîne de caractères et la comparez à la plage ci-dessus. Tout ce qui est inférieur à 1.19 doit être mis à jour, que votre nœud ait été un jour accessible de l’extérieur ou non.

Si vous n’avez pas accès à l’interface, l’installation elle-même offre une piste : le nom du fichier du paquet téléchargé porte la version, et dans le cas d’une installation par conteneur, elle figure dans l’image utilisée. Si aucune de ces voies ne donne de résultat univoque, traitez l’installation comme concernée et mettez-la à jour.

La vérification dans le bon ordre

D’abord l’accessibilité, ensuite la version, enfin la mise à jour. Cet ordre n’a rien d’un formalisme. Qui met d’abord à jour laisse l’accès ouvert pendant le téléchargement et le redémarrage. Qui ferme d’abord retire au défaut sa condition préalable et peut traiter le reste tranquillement.

Le correctif a bien douze mois de plus que l’alerte

C’est ici que l’affaire devient plus intéressante qu’une invitation ordinaire à mettre à jour. Pour cet article, cryptoticker.io a analysé les 40 entrées les plus récentes de la liste des publications du projet au 11 septembre 2026. Le résultat remet la chronologie en ordre.

La dernière version concernée, la v1.18.5, a été publiée le 31 juillet 2025. La première entrée de la série 1.19 dans cette liste est la v1.19.1 du 29 août 2025 ; la v1.19.2 a suivi le même jour et la v1.19.3 le lendemain. La version actuelle, la v1.24.0, date du 14 août 2026. Entre la première publication corrigée et l’alerte publique du 9 septembre 2026, il s’écoule donc bien douze mois.

Une observation tirée de la même analyse mérite d’être signalée, car elle peut semer la confusion lors de la vérification : aucune publication autonome portant le numéro v1.19.0 ne figure dans cette liste, alors que les articles la présentent comme la première version corrigée. Si vous cherchez la v1.19.0 dans la liste sans la trouver, vous n’avez donc pas mal cherché. Ce qui compte pour vous, de toute façon, c’est la version actuelle et non la première corrigée.

Cette analyse a été réalisée par cryptoticker.io le 11 septembre 2026. Méthode : consultation de la liste des publications du projet via l’interface de programmation de GitHub, analyse des 40 entrées les plus récentes par numéro et par date de publication. Il n’a pas été possible de vérifier quelle modification de code a précisément corrigé le défaut, les détails techniques n’étant pas encore publiés. Il est tout aussi impossible d’établir de l’extérieur combien d’exploitants font encore tourner aujourd’hui une ancienne version.

Les notes de version de la v1.24.0 énumèrent par ailleurs une série de renforcements qui vont tous dans le même sens : les appels sensibles, comme l’accès aux mots de récupération et au journal, exigent désormais une clé disposant d’un accès complet ; la limitation des tentatives de déverrouillage échouées est passée de l’adresse individuelle à l’installation entière ; l’acceptation tacite d’un mot de passe de déverrouillage vide, héritée d’anciennes versions, a été supprimée ; et une politique de sécurité a été ajoutée à la documentation. L’éditeur ne dit pas si l’une de ces modifications a un lien avec la faille signalée aujourd’hui.

Passer à la v1.24.0 : ces étapes, dans cet ordre

L’éditeur recommande de porter l’installation à la v1.24.0. Les chemins pour y parvenir diffèrent selon le mode d’exploitation, mais le schéma reste le même.

1. Mettre fin à l’accessibilité depuis Internet, avant toute autre chose.
2. Vérifier l’existence d’une sauvegarde des mots de récupération et des données de canaux. Un nœud aux canaux de paiement ouverts n’est pas un programme que l’on réinstalle à sa guise.
3. Appliquer la mise à jour et redémarrer l’installation.
4. Consulter la page d’informations pour vérifier que le nouveau numéro y figure réellement.
5. Changer le mot de passe de déverrouillage si le nœud a un jour été accessible ouvertement.

Un avertissement qui relève de la pratique générale des nœuds Lightning et non de cette alerte : restaurer un nœud aux canaux ouverts à partir d’une ancienne sauvegarde fait courir le risque de publier un état de canal périmé. Cela peut coûter des fonds. Lisez donc les consignes de sauvegarde de l’éditeur avant la mise à jour, plutôt que de travailler de mémoire.

Redirection de port, proxy inverse, tunnel : d’où vient réellement l’accessibilité

Presque personne ne rend son nœud public par mégarde. Cela se produit à trois endroits typiques, et ces trois-là sont des décisions délibérées que l’on finit par oublier.

Le premier est la redirection de port sur le routeur. Elle achemine les requêtes venues d’Internet vers un appareil du réseau domestique, et elle subsiste tant que personne ne la supprime. Le deuxième est un serveur web placé en amont, qui publie l’interface sous une adresse propre, souvent installé pour que la connexion soit chiffrée. Le troisième est un service de tunnel, qui établit une liaison de l’extérieur vers l’intérieur sans rien modifier sur le routeur. Ce troisième chemin est particulièrement commode et ne laisse sur le routeur aucune trace qui vous le rappellera plus tard.

Si vous avez vraiment besoin d’un accès en déplacement, mieux vaut le loger dans un réseau privé auquel le téléphone se connecte, plutôt que d’exposer librement l’interface d’administration. Et quiconque détient des montants significatifs sépare de toute façon utilement la somme disponible pour les paiements du quotidien du reste, qui doit rester sur un appareil sans connexion réseau. Quels appareils entrent en ligne de compte et ce qui les distingue : voyez le comparatif des portefeuilles matériels.

Changer le mot de passe de déverrouillage : pourquoi la mise à jour ne suffit pas

Le mot de passe de déverrouillage protège l’installation en fonctionnement : sans lui, le logiciel ne libère pas ses clés. L’éditeur recommande expressément de le changer après la mise à jour si l’installation était auparavant accessible ouvertement, et de s’adresser à son adresse de sécurité en cas de soupçon d’incident.

L’idée est simple. Une mise à jour ferme la porte. Elle n’annule pas pour autant le fait que quelqu’un a pu la franchir auparavant et emporter une clé. Qui se contente de relever la version en laissant le mot de passe en place corrige la cause et laisse subsister la conséquence possible.

Il en va de même des accès que vous avez accordés à telle ou telle application. Parcourez une fois la liste de ces connexions après la mise à jour et supprimez ce que vous n’utilisez plus ou ne parvenez pas à identifier.

Ce qui se passe si vous ne faites rien

Il faut distinguer deux choses. Les fonds logés dans les canaux de paiement sont liés à des clés qui se trouvent sur votre appareil ; ils ne disparaissent pas parce qu’une alerte paraît, et ils ne dépendent d’aucun délai. Il n’y a pas de délai dans ce cas, à la différence d’un délistage sur une plateforme.

Le risque est ailleurs : tant qu’une version concernée reste exposée sur le réseau, la voie décrite par l’éditeur demeure ouverte. Et il faut s’attendre à ce que les détails techniques soient publiés un jour. À partir de ce moment, la faille devient reproductible pour quiconque voudra la chercher. Qui aura mis à jour d’ici là sera hors de cause.

Exploiter soi-même ou confier la garde : ce que ce cas dit de l’auto-hébergement

Ce serait une conclusion erronée que de voir dans cette alerte la preuve que l’auto-hébergement est une faute. Un nœud que vous exploitez vous-même vous rend indépendant des horaires, des blocages et des délais de retrait d’un prestataire. Le prix à payer est l’obligation de maintenir le logiciel à jour, et c’est précisément cette obligation qui apparaît ici au grand jour.

Ce que ce cas montre est plus modeste : la surface d’attaque ne naît pas de la garde des clés, mais de la possibilité de piloter à distance. Ajouter du confort, c’est ajouter de la surface d’attaque. Ce calcul ne se configure pas, il s’assume en connaissance de cause.

Pour la plupart des lecteurs, il en découle une répartition sobre. Le montant avec lequel vous payez au quotidien a sa place dans un portefeuille logiciel ou sur un nœud commodément accessible. Le reste a sa place sur un appareil qui n’est pas relié au réseau et ne rend rien pilotable.

Ledger, BitBox02 et Core Lightning : le quatrième incident en quatre semaines

Ce cas s’inscrit dans une série. Le 21 août 2026, BitBox a comblé trois failles de sécurité avec le micrologiciel 9.26.5 ; le 25 août, Ledger a corrigé une faille de son application Ethereum où l’écran pouvait afficher autre chose que ce qui était réellement signé ; et fin août, une vulnérabilité de Core Lightning a été révélée, qui contraignait les exploitants de nœuds à agir. Alby Hub s’y ajoute aujourd’hui.

Cette accumulation ne prouve pas que l’autoconservation serait devenue moins sûre. Elle indique plutôt que ce domaine fait désormais l’objet de recherches et de divulgations systématiques. Pour vous qui exploitez un nœud, il en découle une habitude sans éclat : vérifier une fois par mois s’il existe une nouvelle version pour chaque appareil et chaque logiciel qui détient des clés. Cela coûte dix minutes et règle l’essentiel de ces alertes avant qu’elles ne vous atteignent.

Pour qui veut des sources de première main : l’alerte du 9 septembre est notamment documentée par The Hacker News, et la version actuelle, notes de publication comprises, figure dans la page du projet consacrée à la v1.24.0.

Refermer la faille d’Alby Hub : ce qu’il faut retenir

1. Vérifiez aujourd’hui l’accessibilité, puis la version. Si l’interface d’administration est accessible depuis Internet et qu’une version inférieure à 1.19 tourne, retirez-la du réseau immédiatement. Si vous préférez garder votre montant du quotidien dans une application légère plutôt que sur un nœud personnel, les candidats figurent dans le comparatif des portefeuilles logiciels.
2. Passez à la v1.24.0 et changez le mot de passe de déverrouillage. Sauvegarder d’abord, mettre à jour ensuite, relire enfin le numéro de version. Et séparez le montant déplacé chaque jour de celui qui dort ; les appareils pour cela sont dans le comparatif des portefeuilles matériels.
3. Fixez un rendez-vous mensuel pour les mises à jour. Quatre incidents en quatre semaines ne sont pas une anomalie, mais l’état normal d’un secteur où l’on cherche activement. Dix minutes par mois pour tous les appareils et programmes qui détiennent des clés, et un coup d’œil au comparatif des portefeuilles logiciels si vous voulez remplacer une application.

(Au 11 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)