Kebijakan advisori keamanan Bitcoin Core yang telah dipublikasikan mengaitkan pengungkapan kerentanan dengan tingkat keparahan bug serta status dukungan perangkat lunak. Celah berkeparahan rendah diungkap dua minggu setelah rilis mayor yang telah memuat perbaikan, sedangkan celah berkeparahan menengah/tinggi diungkap dua minggu setelah rilis terdampak terakhir mencapai akhir masa pakai. Flash bertanggal 2025-10-23 yang diberikan menyatakan bug yang mudah ditemukan kini mungkin ditangani lebih cepat, tetapi ketentuan spesifik terkait LLM tersebut tidak ditemukan dalam teks kebijakan resmi yang ditelaah.

Bagaimana mekanisme pengungkapan kerentanan Bitcoin Core saat ini

Kebijakan Security Advisories resmi Bitcoin Core tidak menerapkan satu jadwal pengungkapan yang sama untuk seluruh bug. Sebaliknya, waktu pengungkapan dibedakan menurut tingkat keparahan dan posisi perbaikan dalam siklus rilis.

Berdasarkan kebijakan yang dipublikasikan, kerentanan berkeparahan rendah diungkap dua minggu setelah rilis versi mayor yang memuat perbaikan. Kerentanan berkeparahan menengah dan tinggi diungkap dua minggu setelah rilis terdampak terakhir mencapai akhir masa pakai. Ringkasan kebijakan menyebut tenggat kedua tersebut kira-kira satu tahun setelah rilis mayor pertama yang telah diperbaiki.

Ini menjawab pertanyaan praktis utama bagi pengguna: waktu advisori tidak hanya ditentukan oleh kapan patch tersedia. Status dukungan cabang lama yang terdampak juga menjadi faktor.

Bagaimana jendela dukungan rilis menentukan siapa yang diperingatkan dan kapan

Materi rilis Bitcoin Core memperlihatkan bahwa kebijakan ini bukan sekadar dokumen tata kelola. Kebijakan tersebut diterapkan langsung dalam pengumuman siklus hidup versi, yang memberi tahu pengguna kapan cabang lama berhenti menerima pembaruan dan kapan sebagian rincian kerentanan dapat dipublikasikan.

Dalam pengumuman rilis Bitcoin Core 29.0 tertanggal 2025-04-14, proyek tersebut menyatakan versi 26.x dan yang lebih lama telah mencapai akhir pemeliharaan dan tidak lagi menerima pembaruan. Pengumuman itu juga menyebut bahwa dua minggu setelah rilis tersebut, kerentanan berkeparahan menengah dan tinggi yang memengaruhi 26.x, jika ada, akan diungkap, bersama kerentanan berkeparahan rendah yang memengaruhi 28.x.

Materi rilis 31.0 menggunakan logika yang sama. Disebutkan bahwa versi 28.x dan yang lebih lama telah mencapai akhir masa pakai, serta direncanakan pengungkapan dua minggu kemudian untuk kerentanan menengah/tinggi yang diperbaiki dalam 29.0. Materi tersebut juga mencatat tidak ada kerentanan berkeparahan rendah yang diperbaiki dalam 31.0 untuk diungkap melalui jendela itu.

Konsekuensi praktisnya jelas: operator pada cabang versi lama tidak dapat hanya melihat catatan patch. Mereka juga perlu memantau apakah lini versi mereka masih didukung, karena status itu menentukan kapan informasi keamanan yang lebih terperinci dapat menjadi publik.

Tambahan dari klaim terbaru terkait AI dan hal yang masih belum terverifikasi

Flash yang diberikan menggambarkan peristiwa ini sebagai perubahan kebijakan yang dipicu oleh meningkatnya kemampuan model bahasa besar dalam membantu peneliti menemukan bug. Disebutkan bahwa kerentanan yang mudah ditemukan dengan upaya minimal akan diperbaiki di seluruh rilis mayor yang didukung dan diungkap melalui advisori keamanan bersamaan dengan rilis pembaruan.

Hal itu mungkin mencerminkan penyempurnaan terkini yang nyata, tetapi kutipan resmi yang ditelaah mendukung kesimpulan yang lebih terbatas. Unggahan milis Antoine Poinsot pada 2024-09-19 telah menjelaskan bahwa advisori publik yang memengaruhi Bitcoin Core versi sebelum 24.0.1 merupakan bagian dari penerapan bertahap kebijakan pengungkapan kerentanan baru oleh proyek tersebut. Artinya, materi primer yang tersedia menunjukkan penerapan telah berjalan sebelum tanggal Flash pada 2025.

Dengan demikian, pembacaan yang paling tepat bukanlah bahwa Bitcoin Core sebelumnya tidak memiliki kerangka semacam itu. Kebijakan pengungkapan Bitcoin Core yang berbasis tingkat keparahan dan siklus hidup sudah terlihat dalam materi resmi, sementara klaim Flash yang lebih spesifik mengenai bug yang mudah ditemukan atau dibantu LLM masih merupakan tambahan yang dilaporkan saat ini. Hal yang sama berlaku untuk atribusi Flash kepada Poinsot bahwa periode kerahasiaan yang panjang memberi pengguna waktu untuk meningkatkan versi, tetapi menyulitkan penerapan perbaikan ke versi lama: alasan tersebut selaras dengan kerangka berbasis siklus hidup yang telah terverifikasi, tetapi pernyataan aslinya tidak ditelaah di sini.