BTCPay Server の CVE-2026-119757: 2.4.2 より前で、認証なしに LND の macaroon ファイルを取得され資金を奪われる恐れ（ベンダーは悪用と資金流出を確認、VulnCheck 評価 CVSS v3.1 9.8）

BTCPay Server の 2.4.2 より前（2.4.2 のリリース候補を含む）に、認証なしの遠隔の攻撃者が、Lightning ノード実装 LND の .macaroon 認証情報ファイルを取得できる欠陥（CVE-2026-119757）が見つかりました。取得した macaroon で LND ノードを制御され、資金を動かされる恐れがあります。NVD への登録は 2026-11-05、状態は Received（評価前）で、登録元は VulnCheck です。

BTCPay Server のプロジェクトは自社ブログの勧告で、この欠陥が実際に悪用され、影響を受けた利用者の資金が盗まれたと述べています。

何が起きるか

• 認証なしでネットワーク越しに到達でき、LND の認証情報ファイル（.macaroon）が読み出されます（CWE-522 保護されていない認証情報、CWE-552 外部から到達できるファイル）。
• macaroon は LND ノードの操作権限を表すものです。漏れると、ノードの支払い・チャネルの閉鎖・資金の移動ができてしまいます。
• ベンダーが確認した範囲では、狙われたのは .macaroon の拡張子のファイルだけです。技術的な詳細は、更新が済むまで公開しないとしています。
• 他の Lightning 実装を使う場合や Lightning を使わない場合は、この認証情報の危険はないとされています。BTCPay Server 自体のオンチェーンのウォレット（ホットウォレット含む）も影響を受けないとされています。ただし LND 自身のオンチェーンのウォレットにある資金は、危険が残り得ると説明されています。

影響を受ける版

対象	影響する版	修正版
BTCPay Server	2.4.2 より前（2.4.2 のリリース候補を含む）すべて	2.4.2（LND 0.21.1 を同梱）

特に危険なのは LND を使う環境です。ベンダーは、LND の利用者は「今すぐ更新」するよう求めています。

評価

評価元	版	点数	ベクター
VulnCheck	CVSS v3.1	9.8（Critical）	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
VulnCheck	CVSS v4.0	9.3（Critical）	AV:N/AC:L/AT:N/PR:N/UI:N、機密性・完全性・可用性とも高

• 認証不要で CVSS 9 以上、さらに実際の悪用が報告されているため、基準に沿い severity は critical を案とします（確定はオーナーの判断待ち）。
• CISA の KEV には載っていません（取得時点）。FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。

対策として考えられること

1. BTCPay Server を 2.4.2 へ更新します。管理画面の Server Settings → Maintenance → Update から行えます。更新後、管理画面のフッターで 2.4.2、LND が 0.21.1 になっていることを確かめます。
2. LND を使っていて今すぐ更新できない場合は、更新できるまでサーバーを止めます。影響を受けるLND環境をインターネットから到達できる状態に置かないでください。
3. LND を使っている場合は、認証情報が漏れた前提で、身に覚えのない支払い、予期しないチャネルの閉鎖、見慣れないピア、手元の記録と合わない残高がないかを調べます。更新で macaroon は自動的に作り直されます。
4. 自前のリバースプロキシ・Tor・ポート転送などで LND を公開している場合は、BTCPay Server の更新では閉じられないので、認証情報を自分で作り直します。
5. 2.4.2 では、Docker 構成での LND API の外部公開が一時的になくなっています。Zeus などの外部ウォレットからドメインや onion アドレス経由で接続していた場合は、当面つながらなくなります。

未確認の点

• 攻撃の具体的な手口（ベンダーは技術詳細を未公開）と、被害の件数・金額。
• 攻撃者や被害を受けた個別の利用者に関する情報（本稿では扱わない）。
• ベンダー勧告の投稿日（ページ上の表記と NVD の登録日に差があるため、時系列は未確認）。
• 実際の悪用に対する第三者の確認（ここでの「悪用」はベンダー自身の記載に基づく）。
• NVD の最終評価（現状は評価前）。