أربع سنوات
ابدأ بالكلفة، لأنها حقيقية ولا تمحوها أي مقارنة.
فطوال ما يقارب أربع سنوات، ظلّ أكثر من 30,000 تنصيب ذاتي الاستضافة من Gitea يقدّم صور الحاويات الخاصة به لكل من يطلبها. CVE-2026-27771: سجلّ الحاويات لم يكن يفرض المصادقة على الصور الموسومة بأنها خاصة. وطلب سحب قياسي مجهول عبر Docker أو OCI إلى واجهة برمجة السجل كان يعيد الصورة. بلا بيانات اعتماد. بلا سلسلة استغلال. مجرد طلب، يُجاب.
ووجدت شركة الأمن البريطانية Noscope نسخًا مكشوفة في بنى تحتية للرعاية الصحية والطيران ومزوّدي الإنترنت في أكثر من 30 بلدًا. وظلّت الثغرة في العراء سنوات قبل أن يلحظها أحد ممن لديهم اهتمام بالإفصاح عنها.
أربع سنوات أمر غير مقبول. فقد أمضت هذه النشرة نشراتها السابقة في هذه السلسلة وهي تحاجّ بأن الطبقة ذاتية الاستضافة، التي يتحكم فيها المستخدم، هي المضادّ لخطوط أنابيب الموردين المركزية وحرّاس المنصات — والشيء الصادق الذي ينبغي قوله، أولًا وبلا مراوغة، هو أن الطبقة ذاتية الاستضافة ليست سحرًا. إنها تحمل عبء انضباط. وتحمل مخاطرة زمن مكوث. وقراءة غير مصادَق عليها لمخططات الإنتاج طوال أربع سنوات هي بالضبط الإخفاق الذي سيشير إليه ناقدٌ لأطروحة جانب المستخدم، وسيكون محقًّا في الإشارة إليه.
فتصدّر هذه النشرة إذن أسوأ ما تبدو عليه طبقتها هي.
ثم تستعيد الأطروحة — لا بإنكار السنوات الأربع، بل بطرح السؤال الذي تقتضيه: مقارنةً بماذا، وماذا يحدث بعدها.
لأن بقية قصة Gitea هي الجزء الذي لا يستطيع خط أنابيب الموردين مضاهاته. فالثغرة عثر عليها وكيل اختبار الاختراق المستقل التابع لـ Noscope. وأسند القائمون على المشروع رقم CVE وشحنوا الإصلاح — Gitea v1.26.2 — في 20 مايو، قبل الإفصاح العلني في 25 مايو. ونسبت ملاحظات الإصدار الفضل للمكتشف. وسمّى الإفصاح Forgejo، الفرع المجتمعي الذي يشترك في تنفيذ السجل نفسه، بوصفه مصابًا أيضًا، كي يستطيع مشغّلوه الترقيع كذلك.
أربع سنوات مكوث. أيام للإصلاح. إفصاح مع الإشارة إلى الفرع وتسمية المكتشف.
هذا الاقتران هو المقال.
المخطط
لتفهم لماذا تُعدّ ثغرة في سجلّ حاويات مادةً رئيسية لا هامشًا، عليك أن تفهم ما صورة الحاوية.
صورة الحاوية لقطة محزومة قابلة للتشغيل لتطبيق وكل ما يحتاج إليه كي يعمل. وهذا يعني عمليًّا شفرة التطبيق المصدرية، وملفات الإعداد، و — أكثر كثيرًا مما تحب أفضل الممارسات الأمنية — بيانات اعتماد قواعد البيانات، ومفاتيح واجهات البرمجة، ونقاط الخدمات الداخلية، وشهادات TLS، محزومةً كلها في كائن واحد يسلّمه السجل عند الطلب.
وصياغة Noscope دقيقة: صورة الحاوية «مخطط تفصيلي لبيئة إنتاج». والمهاجم الذي يستطيع سحب صورة خاصة لا يحصل على شذرة. بل يحصل على الخريطة. اقرأ الصورة، واحصد بيانات الاعتماد والبنية، وسيكون لديك ما تحتاج إليه لبلوغ البنية التحتية الحيّة خلفها. فيصير الانكشاف عنصرًا أوليًّا للاختراق.
والاعتراض البديهي هو أن صور الحاويات ينبغي ألّا تحمل أسرارًا أصلًا — وأن بيانات الاعتماد مكانها مدير أسرار يحقنها وقت التشغيل، لا مخبوزةً داخل الصورة. وهذه ممارسة صحيحة، وهي تُنتهك باستمرار، في تنصيبات الرعاية الصحية والطيران ومزوّدي الإنترنت التي أظهرها مسح Noscope بالضبط. هذا هو عبء الانضباط، مسمًّى بصراحة: الطبقة ذاتية الاستضافة تكافئ المشغّل المتمرّس وتعاقب المهمل. فالمشغّل الذي أبقى الأسرار خارج صوره كان انكشافه أقل؛ والمشغّل الذي خبزها فيها سلّم المفاتيح. لكن حتى الصورة الخالية تمامًا من الأسرار تبقى مخططًا — مصدرًا وبنيةً واعتماديات ونقاط وصول — ومخطط بيئة إنتاج هو في ذاته أصلٌ للمهاجم.
وقد حوّلت الثغرة مخططات أكثر من 30,000 تنصيب إلى تنزيلات مجهولة. طوال أربع سنوات.
وُجدت وأُصلحت
الرقمان اللذان يهمّان يقفان جنبًا إلى جنب: نحو أربع سنوات مكوث، وأيام للإصلاح.
الرقعة — v1.26.2 — شُحنت في 20 مايو. والإفصاح العلني جاء في 25 مايو. فسبق الإصلاحُ الإفصاحَ، وهو الترتيب الذي يفترض بالإفصاح المسؤول أن يجري به وكثيرًا ما لا يجري. وحين صارت الثغرة معلومةً للعامة، كانت المعالجة متاحةً بالفعل لكل مشغّل عبر قناة التحديث نفسها التي يستخدمها أصلًا.
والأثر الورقي عام وقابل للتدقيق. رقم CVE مُسنَد ومرقَّم. والمكتشف — Noscope — منسوب إليه الفضل في ملاحظات الإصدار. والفرع المشتق — Forgejo — مسمًّى بوصفه يشترك في التنفيذ المصاب، كي يتمكن مشغّلوه من التصرّف بدل اكتشاف انكشافهم لاحقًا. وأي أحد يستطيع قراءة الالتزام البرمجي، وقراءة ملاحظات الإصدار، وقراءة الإفصاح، والتحقق من التسلسل الزمني.
وثمة مخاطرة متبقية حقيقية هنا، ولا بد من قولها: الرقعة لا تحمي إلا المشغّلين الذين يطبّقونها. فجزء من تلك التنصيبات التي تتجاوز 30,000 سيبقى بلا ترقيع أسابيع أو شهورًا، وهذا الذيل غير المرقّع مشكلة حقيقية وإخفاق انضباط. لكن ثمة فرقًا حاسمًا بين ذيل غير مرقّع ورقعةٍ غائبة. فإصلاح Gitea موجود ليُطبَّق. والمشغّل الذي لم يطبّقه بعد لديه مسار معالجة ينتظره. وهذا ليس صحيحًا بشأن كل ثغرة هذا الأسبوع — والتباين هو موضوع القسم التالي.
المكوث والإصلاح
الطريقة الخاطئة لتقييم الطبقة المفتوحة هي زمن المكوث وحده. فبهذا المقياس، أربع سنوات إدانةٌ وينتهي النقاش.
والطريقة الصحيحة هي المكوث-والإصلاح، عبر أربعة محاور: ما مدى سرعة وصول الإصلاح حين يُعرف الخلل؛ وكم يستمر الإخفاق إن لم يُعالَج؛ وهل المشتقات والمصبّ شفافة؛ وهل يملك الطرف المكشوف أي فاعلية على معالجته هو. وعلى المحاور الأربعة كلها، يقدّم هذا الأسبوع المقارنة.
السرعة والاستمرار. CVE-2008-4250 — وهي ثغرة في Microsoft Windows — أُعيد إدراجها في كتالوج الثغرات المستغَلّة المعروفة لدى CISA في 20 مايو، الأسبوع نفسه الذي أُفصح فيه عن ثغرة Gitea. وهي تُستغل بعد ثمانية عشر عامًا من وجود الرقعة. المورّد شحن إصلاحًا؛ ومكوث الجمهور المستغَلّ يُقاس بعقدين تقريبًا. مكوث Gitea كان أربع سنوات حتى الاكتشاف وأيامًا حتى الإصلاح؛ ومكوث CVE-2008-4250 ثمانية عشر عامًا ويستمر، والإصلاح متاح منذ زمن طويل والذيل المستغَلّ باقٍ رغم ذلك.
الإصلاح الغائب. تحمل CVE-2026-42897 في Microsoft Exchange Server موعدًا نهائيًا للمعالجة لدى الفرع التنفيذي المدني الفيدرالي هو اليوم، 29 مايو. ولا توجد رقعة دائمة. فالقطاع المدني الفيدرالي «يفي» بالموعد النهائي بالتخفيف، لا بالمعالجة، في اليوم 15 من الاستغلال النشط. وهذا نقيض مشغّل Gitea الذي طبّق v1.26.2 اليوم: فالوكالة المرتبطة بـ Exchange لا تستطيع تطبيق إصلاح غير موجود. يحلّ الموعد النهائي؛ ولا تحلّ المعالجة.
شفافية المشتقات. حين رُقّع Gitea، سُمّي Forgejo — الفرع — علنًا بوصفه يشترك في الثغرة. والمنتج مغلق المصدر لا يملك شجرة فروع عامة يُفصح إزاءها؛ فالانكشاف في المصبّ داخل سلسلة توريد احتكارية غير مرئي إلى أن يُخترق. وشفافية المشتقات في الطبقة المفتوحة خاصية بنيوية، لا مجاملة.
فاعلية المستخدم. كشف اختراق ShinyHunters لـ Canvas/Instructure نحو 275 مليون سجل عبر نحو 8,809 مؤسسات — و Canvas يحوز ما يقارب 41 في المئة من سوق أنظمة إدارة التعلّم في التعليم العالي بأمريكا الشمالية. والطلاب والمعلمون والعاملون في تلك البيانات لا يملكون أي مسار معالجة. فهم لم يتحكموا يومًا في التنصيب؛ ولا يستطيعون ترقيعه؛ ولا يستطيعون استرجاع بياناتهم. فالثغرة ذاتية الاستضافة قابلة للمعالجة من المشغّل الذي يتحكم في التنصيب. أما اختراق البرمجيات كخدمة فحارسٌ واحد يخسر بيانات الجميع دفعةً واحدة، بلا أي ملاذ من جهة المستخدم.
والنسخة الصادقة من هذه المقارنة عليها أن تسلّم باعتراض انحياز الناجين البديهي: فالمحاسبة المنصفة كانت ستُظهر أيضًا إصلاحات بطيئة في المصدر المفتوح ورقعًا سريعة من الموردين — فقد شحنت Microsoft تحديثًا لـ SharePoint هذا الأسبوع لـ CVE-2026-45659، بدرجة CVSS 8.8، وشحنته في موعده. والادعاء هنا ليس أن المفتوح يهزم المغلق دائمًا في أي حادثة منفردة. الادعاء يخص الخصائص البنيوية — شفرة قابلة للمسح، وشجرة فروع عامة، ومعالجة بيد المشغّل، وإطلاق عبر القناة نفسها للجميع دفعةً واحدة — وهي خصائص تملكها الطبقة المفتوحة ولا تملكها المغلقة. وهذه الخصائص هي ما يحوّل مكوثًا مدته أربع سنوات إلى إصلاح يستغرق أيامًا بأثر ورقي عام، بدل ذيل يمتد ثمانية عشر عامًا أو موعد نهائي لا رقعة خلفه.
واعتراض الإتاحة حقيقي أيضًا: فمعظم الناس لا يستطيعون الاستضافة الذاتية، ولذلك تبقى ميزة فاعلية المشغّل نظريةً بالنسبة إليهم. صحيح. فمقياس المكوث-والإصلاح يهمّ المشغّلين والمنصات والبنى التحتية التي تستضيف ذاتيًّا فعلًا — وهي، بحسب Noscope، تشمل تنصيبات الرعاية الصحية والطيران ومزوّدي الإنترنت التي ظهرت في المسح. والإطار هو عبء الانضباط الذي يحمله من يشغّلون الطبقة، لا ادعاءُ انطباقٍ شامل.
الطبقة المفتوحة تُخفق علنًا. تلك هي الكلفة — إخفاقاتها مرئية، وقابلة للمسح، وقابلة للعثور عليها. وهي أيضًا المضادّ: الإخفاقات المرئية تُصلَح، بسرعة، على الملأ، مع الإشارة إلى الفرع وتسمية المكتشف.
يقطع في الاتجاهين
الحقيقة الجديدة فعلًا في قصة Gitea ليست الثغرة. بل المكتشف.
فوكيل اختبار اختراق مستقل اكتشف ثغرة غير معروفة سابقًا بمسح الطبقة المفتوحة على نطاق واسع. لا ماسحًا يطابق بصمات ثغرات معروفة — بل وكيلًا استكشافيًّا وجد شيئًا لم يفهرسه أحد، في تنفيذ سجلّ ظلّ يشحن الخلل أربع سنوات. وصياغة Noscope تصف الوكيل وهو يقوم بالاكتشاف والشركةَ وهي تقوم بالإفصاح؛ وتفاصيل الآلية وراء ذلك تخصّهم هم، وليس لنا أن نقيسها.
والمترتّب هو ما يستحق التوقف عنده: الغموض مات. فالمكوث الممتد أربع سنوات حدث في زمن كان العثور فيه على ثغرة غير معروفة في سجلّ مفتوح المصدر متوسط الشيوع يقتضي باحثًا بشريًّا يختار أن ينظر. وعصر الوكلاء يزيل هذا الشرط. فالشفرة القابعة في العراء ستُمسَح — مسحًا شاملًا ورخيصًا ومستمرًّا.
وهذا يقطع في الاتجاهين، والاستدلال هنا مباشر لا منقول: فقدرة المسح المستقل نفسها التي مكّنت Noscope من إيجاد هذه الثغرة متاحة للمهاجمين. ولا يوجد تقرير يفيد بأن وكيلًا معاديًا عثر على هذه الثغرة بعينها — فالإفصاح إفصاح Noscope. لكن القدرة ليست حكرًا على المدافعين، وقدرةٌ تستطيع إيجاد ثغرة غير معروفة واحدة تستطيع إيجاد غيرها. والسباق بين وكلاء صديقين يجدون ويفصحون ووكلاء معادين يجدون ويستغلّون.
ولهذا فمتغيّر المشغّل هو وتيرة الترقيع. فزمن الكشف صار جزئيًّا خارج يد المشغّل — إذ سيجد الوكلاء، صديقين كانوا أو معادين، ما يمكن إيجاده وفق جدولهم لا جدوله. أما زمن الترقيع فيقع كليًّا بيده. وفي عصر الوكلاء، تصير المدة بين شحن الإصلاح وتطبيق المشغّل له المتغيرَ الأمني المهيمن، لأنها المتغير الذي يتحكم فيه المشغّل. ونموذج الإطلاق في الطبقة المفتوحة — قناة واحدة، لكل المشغّلين دفعةً واحدة — مبنيّ للاعتماد السريع. وهل يستخدمه المشغّلون فعلًا؟ ذلك سؤال الانضباط، وهو الآن السؤال الأهمّ.
«الذكاء الاصطناعي يجعل الطبقة المفتوحة أكثر أمانًا» قراءةٌ متفائلة، وهي نصف صحيحة: فالوكلاء الصديقون وجدوا هذه الثغرة. والنصف الآخر أن التراخي صار قاتلًا، لأن الوكلاء المعادين يمسحون هم أيضًا. والخلاصة ليست الأمان. الخلاصة هي الترقيع بسرعة الوكلاء.
أربعة عشر يومًا وموعد نهائي بلا رقعة
جرت ساعات المؤسسات بالتوازي هذا الأسبوع، وجرت في الاتجاه الآخر.
تنتهي مدة المادة 702 من قانون مراقبة الاستخبارات الأجنبية بعد أربعة عشر يومًا، في 12 يونيو. ومجلس الشيوخ في عطلة حتى 1 أو 2 يونيو. ورأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس لا يزال سريًّا؛ ويقول مكتب مدير الاستخبارات الوطنية إنه يعمل «على وجه السرعة» على رفع السرية، دون الالتزام بموعد. وبحسب ما نُقل عن الرأي الذي لا يزال سريًّا — وفي مقدمة من نقله برنت سكوروب في American Prospect — وجدت المحكمة أن مشكلة أداة الفلترة تمتد عبر مجتمع الاستخبارات: إذ أوقف FBI أداة الاستعلام بعينها التي كان يستخدمها في 2024، لكنه يستخدم أداة أخرى بالوظيفة نفسها. وقد وقّع رئيس لجنة الاستخبارات في مجلس الشيوخ توم كوتون ونائبه مارك وارنر معًا مطلبَ رفع السرية الموجّه إلى غابارد، مدير الاستخبارات الوطنية، وإلى تود بلانش، النائب العام بالإنابة؛ وكان السيناتور وايدن الصوت الأعلى في الإصرار على أن يصير الرأي علنيًّا قبل التصويت على إعادة التفويض.
وهذا لا يعادل خللًا برمجيًّا، ولا يعادل الشبكة المفلترة في إيران، والمقال يبقي الأعمدة منفصلة. فالولايات المتحدة لديها قانون أوامر قضائية، ومحكمة تخاصمية هي التي كتبت الرأي محلّ النقاش، ورقابة برلمانية تفاوضت على رفع سريته، وصحافة حرة تنقل عن الوثيقة السرية. والخيط المشترك ضيّق ومذكور بوصفه كذلك: فمثل الوكالة المرتبطة بـ Exchange التي لا تستطيع تطبيق إصلاح غير موجود، ومثل مستخدم Canvas الذي لا مسار معالجة له، يُطلب من الجمهور أن يقبل واقعةً لا يستطيع رؤيتها — رأي 17 مارس — وقدرةَ استعلام لا يستطيع التحكم فيها.
وتعزّز كومة المواعيد النهائية لدى الموردين هذا التباين. فالموعد النهائي لـ Exchange OWA لدى الفرع التنفيذي المدني الفيدرالي يحلّ اليوم بلا رقعة دائمة. ومنحت CISA الوكالات الفيدرالية أربعة أيام لتأمين إضافة LiteSpeed لـ cPanel، وهي مستغَلّة بنشاط. أما SharePoint CVE-2026-45659 فنال تحديثه — الإصلاح الموجود. والثغرتان الصفريتان التوأمان في Microsoft Defender، CVE-2026-41091 و CVE-2026-45498، تحملان موعدًا نهائيًّا لدى الفرع التنفيذي المدني الفيدرالي في 3 يونيو، بعد خمسة أيام.
الخيط الناظم: الطرف المكشوف يسابق ساعة شخص آخر. فوكالة Exchange تسابق رقعةً لم تُكتب. وجمهور §702 يسابق مراجعةَ رفع سرية بلا موعد. ومشغّل Gitea الذي طبّق v1.26.2 اليوم سابق ساعةً أيضًا — وأنهاها، لأن الإصلاح كان موجودًا والقناة أوصلته. ذلك هو الفرق الذي تشتريه مساءلة الطبقة المفتوحة.
نمط إخفاق الحارس
اختراقات هذا الأسبوع هي النقيض السحابي للمادة الرئيسية — الحارس المركزي يخسر بيانات الجميع دفعةً واحدة، بلا أي ملاذ من جهة المستخدم.
Canvas/Instructure. نحو 275 مليون سجل، ونحو 8,809 مؤسسات، من بينها Harvard و Stanford و UC Berkeley، في منصة تحوز نحو 41 في المئة من سوق أنظمة إدارة التعلّم في التعليم العالي بأمريكا الشمالية؛ ShinyHunters؛ وفدية دُفعت في منتصف مايو. والخاصية الفارقة، بالنسبة إلى حجّة هذه النشرة، هي غياب مسار معالجة للمستخدم. فمشغّل Gitea ذاتي الاستضافة كان يستطيع سحب v1.26.2 وإغلاق الثغرة اليوم. أما الـ 275 مليون إنسان في بيانات Canvas فلا يستطيعون فعل شيء. لم يشغّلوا التنصيب، ولا يستطيعون ترقيعه، ولا يستطيعون سحب ما أُخذ. المركزية مضاعِف دفاعي حين تعمل، ومضاعِف هجومي حين تُخفق: اختراق واحد، والجميع مكشوف، ولا ملاذ فرديّ.
Silent Ransom Group. حذّر تنبيه FLASH الصادر عن FBI يومي 26-27 مايو من أن طاقم الابتزاز الإجرامي — Luna Moth، UNC3753، إجرامي لا تابع لدولة — يستهدف مكاتب المحاماة بهندسة اجتماعية تتصاعد إلى حضور مادي: بريد تصيّد، ثم مكالمة دعم تقني مزيّفة، ثم جلسة سطح مكتب بعيد، وحين يفشل ذلك، عميلٌ يدخل المكتب ماشيًا ويُدخِل ذاكرة USB. أكثر من 38 مكتبًا على موقع التسريب، وما يُقدَّر بأكثر من 100 إجمالًا. وهو النظير الهجومي لفكرة «ضوابط لا تُفرَض» — إذ يحمل المحيط البشري الفجوة نفسها التي حملها سجل Gitea، تحقّقٌ لم يجرِ ببساطة.
Carnival. نحو 6 مليون إنسان، تأكّد في 28 مايو. نموذج مصغّر لنمط إخفاق الحارس نفسه: حارس واحد، اختراق واحد، والملايين مكشوفون.
طبقة المتلقّي: الضبط، اليوم
استمرت طبقة ضبط الدولة عند كل مستوى من المكدّس، والمضادّ من جهة المستخدم ينفد عند الطبقات التي تمسك فيها الدولة بالجهاز أو بالسجل.
الناقل — إيران، اليوم 3-4 من الاستعادة. كما وثّقت نشرة 28 مايو في هذه المنصة، بلغت الاستعادة ذروتها عند نحو 40 في المئة من مستويات ما قبل الإغلاق، وظلّت الشبكة المفلترة فاعلةً تمامًا، وعتاد الفحص العميق للحزم الصيني اللازم لخنق دائم موجود في مكانه. الاستعادة ليست عودة. هذا هو المؤشر؛ والحجّة لا يُعاد التقاضي فيها هنا.
السجل — المكسيك، CURP Biométrica. اثنان وثلاثون يومًا حتى الموعد النهائي في 30 يونيو؛ والتسجيل لا يزال دون 10 في المئة. وهذا هو الحدّ الصادق لأطروحة جانب المستخدم: فأمام سجلّ بيومتري إلزامي، لا يوجد عنصر أوليّ من جهة العميل يتيح للمرء أن يمتثل ويحتجب في آن. والمضادّ لسجلّ إلزامي سياسيّ وقانونيّ، لا تشفيريّ. فمكدّس جانب المستخدم ينفد هنا، وقول ذلك جزء من إحسان استخدامه.
البثّ — النيجر، اليوم 21؛ بوركينا فاسو، اليوم 24. يستمر قمع مصادر الإعلام الدولية. والمضادّ هو التوزيع المقاوم للرقابة ووسائل النقل المقاومة للفحص العميق للحزم — مهيّأةً مسبقًا، وفق درس النشرة السابقة.
الجهاز — هونغ كونغ، قانون الأمن القومي. فكّ التشفير القسري يدخل حيّز التشغيل. فالتشفير طرفًا إلى طرف يحمي الرسالة من إفصاح المنصة؛ لكنه لا يحمي هاتفًا أُلزم صاحبه قانونًا بفتحه. والمضادّ عند طبقة الجهاز نظام تشغيل مقوّى، وأمن عمليات، وتقليل ما يحمله الجهاز — مذكورًا بوصفه حدًّا، لا مطموسًا.
خط أنابيب البروتوكولات: المضادّ، طبقةً طبقة
يتصدّر خط الأنابيب هذا الأسبوع، على نحو لائق، بالطبقة المفتوحة وهي تُصلح بسرعة.
ذاتية الاستضافة. Gitea و Forgejo v1.26.2 — الكلفة والمضادّ في سطر واحد. فالثغرة هي برهان النشرة على مخاطرة زمن المكوث في طبقتها نفسها؛ وتوافر الرقعة في اليوم نفسه هو برهان المساءلة.
المالية. أُغلق تدقيق Trail of Bits لـ Monero FCMP++ في 22 مايو — التقرير قيد الانتظار، وتفعيل الشبكة الرئيسية مشروط بالمعالجة، لا «مُدقَّق ونظيف». وأُطلقت شبكة Zcash التجريبية NU7 في 22 مايو. ومساءلة التدقيق المفتوح هي نظير إفصاح Gitea عند الطبقة المالية: نتائج تُنشر، وإصلاحات تُشترط، وأثر ورقي عام.
الاتصالات. يستمر طرح تشفير Discord طرفًا إلى طرف DAVE إلى نحو 200 مليون مستخدم نشط شهريًّا؛ ويستمر تطوير Sparse Post-Quantum Ratchet لدى Signal. وحدّ هونغ كونغ ينطبق هنا: التشفير طرفًا إلى طرف يدافع عن القناة، لا عن الطرف المُكرَه.
الشبكة والنقل. Tor Browser 15.0.14؛ وشبكة URnetwork التراكبية الندّية؛ ووسائل النقل المقاومة للفحص العميق للحزم — VLESS+Reality و Shadowsocks-2022 — لبيئات الخنق التي وصفتها النشرة السابقة؛ و BIP324 v2 و BIP352 عند طبقة القيمة.
الجهاز. يبقى GrapheneOS 2026050900 و CalyxOS 7.2.1.0 خطَّي الأساس المقوَّيَين.
الأساس. ML-KEM و ML-DSA و SLH-DSA؛ وانتهاء عمر FIPS 140-2 يحلّ في 21 سبتمبر.
والاعتراف الصادق الذي يقتضيه خط الأنابيب: إنه يعتمد على المؤسسات أيضًا. منح Tor، وشركة تدقيق Monero، ومؤسسة Zcash. والادعاء الأضيق الباقي هو الذي حملته هذه السلسلة طوال الوقت — خط الأنابيب لا ينضغط حول تقويم أي دولة بعينها، والعناصر الأولية، متى شُحنت، تعمل على جهاز المستخدم بصرف النظر عن الوسيط.
هيّئ مسبقًا ورقّع
درسا الأسبوع انضباطٌ واحد بنصفين.
هيّئ العنصر الأولي مسبقًا قبل أن يهبط الضبط. ذلك هو درس إيران، من النشرة السابقة: فمن حافظوا على النفاذ خلال الإظلام الممتد 88 يومًا هم من كانوا قد هيّأوا Starlink والشبكات الشبكية وأدوات الالتفاف قبل أن تُغلق الشبكة، لأن أدوات الالتفاف حول الخنق تعيش على الجانب الآخر منه.
ورقّع العنصر الأولي بسرعة الوكلاء كي لا يصير هو الانكشاف. ذلك هو درس Gitea، من اليوم: فالطبقة ذاتية الاستضافة التي يتحكم فيها المستخدم ليست مضادًّا إلا إذا شغّلها المشغّل بانضباط، لأن قراءةً غير مصادَق عليها لمخططات الإنتاج طوال أربع سنوات هي ما يبدو عليه الإهمال في الطبقة المفتوحة، ولأن عصر الوكلاء يضمن أن ما يقبع في العراء سيُعثر عليه.
وأيٌّ من النصفين وحده يُخفق. هيّئ مسبقًا دون أن ترقّع، فيصير العنصر الذي جهّزته هو الثغرة. ورقّع دون أن تهيّئ مسبقًا، فتكون منضبطًا حيال أدوات لا تستطيع بلوغها حين يهبط الضبط. مكدّس جانب المستخدم ليس سحرًا، وهذه النشرة برهانها هو — فالمكوث الممتد أربع سنوات هو الكلفة، مذكورةً أولًا وبلا تهوين. والجواب هو المكوث-والإصلاح مع الانضباط، لا الإنكار.
أربع سنوات هي الكلفة.
أما الإخفاق علنًا، والإصلاح السريع، والإشارة إلى الفرع، ونسبة الفضل للمكتشف، وتسليم المشغّل مسار معالجة موجودًا فعلًا — فذلك هو المضادّ الذي لا يملكه الذيل الممتد ثمانية عشر عامًا ولا الموعد النهائي الذي يلتقي اليوم بلا رقعة.
الطبقة المفتوحة تُخفق علنًا. وتُصلح بسرعة.
هيّئ مسبقًا ورقّع.
URnetwork شبكة تراكبية ندّية للنقل المقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم عند طبقة الشبكة. وإصدار خادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية الندّية، فيفصل النقل عن طبقة الناقل. وشفرة URnetwork مفتوحة وقابلة للتدقيق — وهي الخاصية التي تحاجّ هذه النشرة بأنها تكشف عيوب الطبقة وتجعلها تُصلَح في آن.
https://ur.io