# LNbits : le paquet 1.7.0rc2 est sur PyPI, l’ordre d’arrêt tient

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/lnbits-pypi-170rc2-ordre-arret-serveurs
- Auteur : Kelvyn
- Publié le : 9 novembre 2026 (2026-11-09T15:08:04.122Z)
- Rubrique : Cybersécurité
- Sujets : Bitcoin, GitHub, PyPI, Lightning, LNbits
- Langue : français

Le 9 novembre 2026, à 14 h 46 UTC, l’index PyPI a reçu le paquet Python lnbits en version 1.7.0rc2, alors que le compte du projet demandait toujours d’arrêter tous les serveurs. Le wheel est arrivé à 14 h 46 min 49 s UTC, l’archive source deux secondes plus tard. À 14 h 44 min 29 s UTC, la branche dev du dépôt lnbits/lnbits avait reçu le commit 190c8ce, qui passe le numéro de version à 1.7.0rc2.

## Un candidat sur PyPI, pas la version de la page Releases

La fiche générale du projet sur PyPI indique toujours 1.6.2 comme version stable. Ce paquet a été envoyé le 18 septembre 2026, à 13 h 43 UTC. Le même jour, à 13 h 58 UTC, la page Releases a publié la 1.6.2, un correctif de sauvegarde PostgreSQL nommé Tal. La branche main, au commit 9349da du 18 septembre à 13 h 41 UTC, est celle de cette version. Elle n’a pas reçu les commits du 9 novembre.

Sur dev, deux commits du jour portent dans leur titre sur un durcissement des requêtes sortantes. Le compte arcbtc, celui de Ben Arc, les a fusionnés à 12 h 26 min 35 s UTC, dans la pull request 4310, et à 14 h 22 min 08 s UTC, dans la pull request 4313. Le changement de numéro, pull request 4315, vient du compte motorina0, à 14 h 44 min 30 s UTC. Rien, dans ces messages, ne dit que les retraits du 8 novembre sont clos, ni que les serveurs peuvent redémarrer.

KLYNLABS avait écrit, [le 9 novembre vers 12 h 09 UTC](https://klynlabs.eu/articles/lnbits-arreter-serveurs-attaques-sans-correctif), qu’aucun commit n’était arrivé depuis le 8 novembre et que la version publique restait la 1.6.2. C’était exact à cette heure. Le premier des trois commits est postérieur, à 12 h 26 UTC. Voir aussi [l’alerte BTCPay Server](https://klynlabs.eu/articles/btcpay-server-vols-hot-wallets-versions-2-4-1).

## L’étiquette v1.7.0-rc2 ne contient pas le code du jour

L’étiquette git v1.7.0-rc2 pointe vers le commit 57b88df du 29 octobre 2026, à 11 h 15 UTC. Le fichier de version de ce commit indique 1.7.0-rc1, pas 1.7.0-rc2. L’étiquette annotée v1.7.0-rc1, posée le 29 octobre à 11 h 16 UTC, vise le même commit. La branche dev a 23 commits d’avance. Seuls les trois du 9 novembre sont datés après le 8 novembre.

Prendre la dernière entrée de la page Releases, ou extraire l’étiquette nommée v1.7.0-rc2, ne donne donc pas le code déposé sur PyPI à 14 h 46.

La documentation d’installation sur dev décrit une protection des requêtes sortantes pour Docker. La commande affichée télécharge un script depuis la branche main. Vers 15 h UTC, ce fichier répondait 404 sur main et existait sur dev. Les avis de sécurité du dépôt n’ont pas d’entrée du jour : les deux fiches publiques datent du 6 avril 2025 et du 14 juin 2024.

## Le compte public n’a pas annulé l’arrêt

Ben Arc a écrit le 8 novembre 2026, à 13 h 59 UTC : « Patches should be merged and available within 24-48hrs. » Depuis ce message, le créneau va environ jusqu’à 14 h UTC le 10 novembre 2026. Des commits ont été fusionnés dans l’intervalle. Une fusion sur dev et un candidat sur PyPI ne sont pas la version que la page Releases propose, et le message ne disait pas que l’arrêt serait levé tout seul.

La page publique du compte LNbits, lue le 9 novembre vers 15 h 05 UTC, montrait encore en tête l’ordre d’arrêter tous les serveurs, publié le 8 novembre à 13 h 56 UTC, et le message de 17 h 18 UTC sur la coupure de my.lnbits.com. Ce texte annonce une reprise sous 24 heures, donc vers 17 h 18 UTC le 9 novembre. Le délai n’était pas échu. Aucun message affiché sur cette page n’annule l’ordre.

Le site my.lnbits.com répondait HTTP 200. Last-Modified indiquait le 8 septembre 2026, et la page était servie par GitHub Pages. Une page statique qui répond ne signifie pas que les instances hébergées ont redémarré.

> Le candidat 1.7.0rc2 n’est pas un feu vert. Tant que le compte du projet n’a pas retiré l’ordre du 8 novembre 2026, la consigne publique reste d’arrêter les serveurs LNbits. La version stable affichée, la 1.6.2, date d’avant cette consigne.

## À retenir

- Le 9 novembre 2026 à 14 h 46 UTC, PyPI a reçu lnbits 1.7.0rc2, deux minutes après un commit de version sur la branche dev.
- La page Releases affiche toujours la 1.6.2, publiée le 18 septembre 2026 à 13 h 58 UTC.
- L’étiquette git v1.7.0-rc2 pointe vers un commit du 29 octobre 2026, dont le numéro est 1.7.0-rc1.
- Le 9 novembre vers 15 h 05 UTC, le compte public montrait encore l’ordre d’arrêt du 8 novembre, sans message qui l’annule.
- Ni la 1.6.2 stable ni cette étiquette git ne contiennent les trois commits du 9 novembre.

## Sources

- [PyPI, lnbits 1.7.0rc2](https://pypi.org/project/lnbits/1.7.0rc2/), 9 novembre 2026, 14 h 46 UTC.
- [Commit 190c8ce](https://github.com/lnbits/lnbits/commit/190c8ce6e8c6), [commit fc5e0b60](https://github.com/lnbits/lnbits/commit/fc5e0b60ff15) et [commit 7a176c59](https://github.com/lnbits/lnbits/commit/7a176c59a06e), branche dev, 9 novembre 2026.
- [Releases, version 1.6.2](https://github.com/lnbits/lnbits/releases), 18 septembre 2026. [Branche main](https://github.com/lnbits/lnbits/tree/main).
- [Étiquette v1.7.0-rc2](https://github.com/lnbits/lnbits/tree/v1.7.0-rc2), 29 octobre 2026. [Branche dev](https://github.com/lnbits/lnbits/tree/dev).
- [Avis de sécurité](https://github.com/lnbits/lnbits/security/advisories), sans entrée du 9 novembre 2026.
- [Ordre d’arrêt](https://x.com/lnbits/status/2119428804951048237), 8 novembre 2026 à 13 h 56 UTC. [Ben Arc](https://x.com/arcbtc/status/2119429503667642816), 13 h 59 UTC. [Service hébergé](https://x.com/lnbits/status/2119479738783629384), 17 h 18 UTC.
- [Compte relu le 9 novembre vers 15 h 05 UTC](https://x.com/lnbits). [Article KLYNLABS de 12 h 09 UTC](https://klynlabs.eu/articles/lnbits-arreter-serveurs-attaques-sans-correctif).

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/lnbits-pypi-170rc2-ordre-arret-serveurs