一句话结论
LNbits 官方已于北京时间 2026 年 11 月 11 日 01:09 发布 v1.7.0 紧急安全更新，发布说明明确要求“所有 LNbits 用户立即更新”。这是 11 月 8 日攻击事件后项目方承诺的修复版本：如果你在运行自托管 LNbits，现在就该升级；升级前先核对钱包余额与交易记录，排查 11 月 8 日前后未经授权的提现。
事件回顾：11 月 8 日的攻击与停服要求
2026 年 11 月 8 日，LNbits 项目方发现针对自托管服务器的一波攻击，先要求运营者禁用 Paywall 扩展排查，随后约 80 分钟后升级为要求所有自托管服务器立即停服，并关闭了托管服务 my.lnbits.com 的全部实例。已有运营者报告，攻击者通过新创建的账户，在 11 月 8 日 09:22 至 14:00（UTC）期间提走了 2,285,545 聪（约 0.023 枚比特币）。项目方当时表示有多个安全补丁待推送，预计 24 至 48 小时内发布。v1.7.0 就是这批补丁的正式版本。
受影响版本与修复版本
- 受影响版本：v1.6.2 及更早版本（2026 年 9 月 18 日发布的 v1.6.2 是此前最新稳定版）。
- 修复版本：v1.7.0，2026 年 11 月 10 日 17:09（UTC）发布，GitHub 发布页标题为“v1.7.0 URGENT SECURITY UPDATE”。
- 升级方式：从 LNbits 官方 GitHub 发布页获取 v1.7.0，按官方升级流程操作；升级前确认下载来源为官方仓库，不要使用来路不明的安装包。
这次更新修了什么（已核实的发布说明要点）
按官方发布说明，v1.7.0 是一次关键安全发布，包含大范围安全加固与漏洞修复，涉及安全、认证、扩展管理与支付处理。已确认列入本次发布的相关加固包括：
- 服务端请求伪造（SSRF）防护集中化，拦截指向服务器自身的请求；
- 默认禁止新建账户，收紧账户创建入口；
- 超级用户可以重置全部钱包密钥，便于事后轮换；
- 新增 TOTP 双因素认证、自动扩展更新等安全相关功能。
项目方未在发布说明中公开被利用漏洞的具体技术细节，本文也不展开利用原理，只讲防御与升级。
升级与自查步骤
- 确认当前版本：登录管理界面或查看部署记录，确认运行的是否为 v1.6.2 或更早版本。是的话在修复范围内。
- 先审计、再升级：在升级前导出并核对钱包余额与交易记录，重点排查 11 月 8 日前后新创建账户发起的提现、异常金额与异常时间段的支付。发现未经授权的提现，先保留记录再处理。
- 升级到 v1.7.0：在服务器仍停服的状态下完成升级，升级完成并确认服务正常后再恢复对外提供服务。
- 升级后加固：为管理员账户启用 TOTP 双因素认证；检查已安装扩展的来源与版本，开启自动扩展更新；如怀疑密钥可能泄露，使用超级用户重置钱包密钥功能轮换密钥。
- 托管服务用户：my.lnbits.com 由项目方统一处理，以项目方后续恢复通知为准，不用自行操作。
仍待确认的事项
- 截至本轮核查，本次事件尚无 CVE 编号、无 CVSS 评分，也未进入 CISA KEV；被利用的具体组件项目方未公开确认。
- 项目方在发布说明中附带的安全更新指引链接，截至本轮核查时尚未生效，升级以 GitHub 官方发布页为准。
- 项目方曾表示事后会公布完整复盘，复盘发布后如有新的防御要点，本栏目会再跟进。
与用户四站无关，用户本人不用操作、不用回复。