BTCPay Server で LND の認証情報が未認証で漏えい（CVSS 9.8・悪用確認）

Critical（CVSS 9.8）に分類されるBTCPay Server BTCPay Server（2.4.2 より前・2.4.2 の RC を含む）の脆弱性です。**決済サーバーの BTCPay Server で、認証していない攻撃者が LND（Lightning Network Daemon）の .macaroon 認証情報ファイルを取得でき、LND ノードを乗っ取って資金を動かせる。** 対象は 2.4.2 より前の全版で、2.4.2 のリリース候補も含む。 **悪用は確認済み。** BTCPay Server の公式アドバイザリ（2026年8月7日）と事故報告（8月10日）は、この欠陥が悪用されて利用者の資金が盗まれたと認めている。CISA KEV には 2026-11-06 時点で収載されていない。 **評価値と採番。** CVSS は VulnCheck（CNA）の評価で 3.1 が **9.8 Critical**、4.0 が 9.3。修正の公開から約3か月後の2026年11月5日に NVD へ登録された（分析状況は Received）。公式アドバイザリの本文に CVE 番号の記載は無いが、NVD はこのアドバイザリを参照している。 **影響しない範囲。** 公式によれば、LND 以外の Lightning 実装や Lightning を使わない構成に LND の認証情報のリスクは無く、BTCPay のオンチェーンウォレットも対象外である。ただし LND 自身のオンチェーンウォレットの資金は影響を受け得る。

**BTCPay Server を 2.4.2 へ、LND を 0.21.1 へ上げる。** 標準の導入なら Server Settings → Maintenance → Update から更新し、管理画面のフッターが 2.4.2、LND が 0.21.1 と出ることを確かめる。更新が効いたか不安なら、画面か btcpay-update.sh でやり直す。 **すぐ更新できない場合。** 公式はサーバーをオフラインにするよう求めている。影響のある LND をインターネットから届く状態で置かない。 **認証情報の入れ替え。** 更新で macaroon は再生成される。ただし自前のリバースプロキシ、Tor、ポート転送などで LND を公開している場合は更新で経路が閉じないので、その認証情報も入れ替える。 **更新後の変化。** 2.4.2 は Docker 構成で LND の公開 API を止めるため、Zeus などの外部ウォレットは当面 BTCPay のドメインや onion アドレス経由で接続できない。 **侵害の確認。** 身に覚えのない支払い、想定外のチャネル閉鎖や知らないピア、記録と合わないオンチェーン・チャネル残高が無いかを調べる。 **完了条件**は、（1）BTCPay Server が 2.4.2 以上で LND が 0.21.1 以上、（2）macaroon を入れ替え、自前の公開経路も閉じたか認証情報を替えた、（3）不審な取引が無いことを確認した、の3点である。

BTCPay Server BTCPay Server（2.4.2 より前・2.4.2 の RC を含む） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-119757）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。