ملاحظات حول خصوصية الإنترنت

منشورات وأبحاث من فريق ومجتمع URnetwork.

RSS

أربع سنوات

ثغرة في الطبقة ذاتية الاستضافة تركت صور الحاويات الخاصة لأكثر من 30,000 تنصيب من Gitea — أي مخططات الإنتاج، بما فيها الشفرة المصدرية والإعدادات، وكثيرًا ما تضمّ بيانات اعتماد قواعد البيانات ومفاتيح واجهات البرمجة وشهادات TLS — قابلةً للسحب من مهاجمين غير مصادَق عليهم طوال ما يقارب أربع سنوات. CVE-2026-27771: المصادقة لم تكن تُفرض ببساطة على الصور الموسومة بأنها خاصة، وكان سجلّ الحاويات يقدّمها ردًّا على طلبات سحب مجهولة قياسية عبر Docker/OCI. اكتشفت شركة الأمن البريطانية Noscope الثغرة عبر وكيل اختبار الاختراق المستقل التابع لها وأبلغت القائمين على المشروع؛ فأسند فريق Gitea رقم CVE وشحن الرقعة (v1.26.2) في 20 مايو، قبل الإفصاح العلني في 25 مايو؛ وأُشير إلى أن Forgejo، الفرع المجتمعي الذي يشترك في تنفيذ السجل نفسه، مصاب أيضًا. ووجد مسح Noscope نسخًا مكشوفة في بنى تحتية للرعاية الصحية والطيران ومزوّدي الإنترنت في أكثر من 30 بلدًا. أربع سنوات مدة طويلة، وقد أمضت هذه النشرة نشراتها السابقة في هذه السلسلة وهي تناصر الطبقة ذاتية الاستضافة، التي يتحكم فيها المستخدم، بوصفها المضادّ لخطوط أنابيب الموردين المركزية وحرّاس المنصات. فالمكان الصادق للبدء هو الكلفة: الطبقة المفتوحة ليست سحرًا؛ إنها تحمل عبء انضباط ومخاطرة زمن مكوث، وأربع سنوات من قراءة غير مصادَق عليها لمخططات الإنتاج إخفاقٌ حقيقي لا تمحوه أي مقارنة. لكن المقياس الصحيح ليس زمن المكوث وحده — بل المكوث-والإصلاح. فثغرة Gitea وُجدت أربع سنوات واكتشفها وكيل مستقل، ورقّعها القائمون على المشروع في أيام، وشُحنت عبر القناة نفسها لكل مشغّل دفعةً واحدة قبل الإفصاح، ونُسبت إلى مكتشفها في ملاحظات الإصدار، وأُفصح عنها مع تسمية الفرع المشتق علنًا. قارن ذلك بوقائع خط أنابيب الموردين في الأسبوع نفسه: CVE-2008-4250، وهي ثغرة في Microsoft Windows أُعيد إدراجها في كتالوج الثغرات المستغَلّة المعروفة لدى CISA في 20 مايو ولا تزال تُستغل بعد ثمانية عشر عامًا من وجود الرقعة؛ و CVE-2026-42897 في Microsoft Exchange Server، التي يحلّ موعدها النهائي للمعالجة لدى الفرع التنفيذي المدني الفيدرالي اليوم، 29 مايو، بلا رقعة دائمة — تخفيف فقط، في اليوم 15 من الاستغلال النشط، موعدٌ نهائي يلتقي بإصلاح غائب. وقارنه بنمط إخفاق الحارس في نموذج البرمجيات كخدمة: اختراق ShinyHunters لـ Canvas/Instructure، نحو 275 مليون سجل عبر نحو 8,809 مؤسسات، حيث لا يملك الطلاب والعاملون المكشوفون أي مسار معالجة على الإطلاق لأنهم لم يتحكموا يومًا في التنصيب. الطبقة المفتوحة تُخفق علنًا وتُصلح بسرعة. فالمشغّل ذاتي الاستضافة الذي طبّق v1.26.2 اليوم أغلق الثغرة؛ والوكالة الفيدرالية المرتبطة بـ Exchange وفت بموعد نهائي بالتخفيف لأن الإصلاح غير موجود؛ ومستخدم Canvas لا يستطيع فعل شيء. زمن المكوث هو الكلفة الصادقة للطبقة المفتوحة. أما الإخفاق علنًا، والإصلاح السريع، والإشارة إلى الفرع، ونسبة الفضل للمكتشف، وتسليم المشغّل مسار المعالجة، فهو المضادّ الذي لا يملكه ذيل المورّد الممتد ثمانية عشر عامًا ولا موعده النهائي الذي يلتقي اليوم بلا رقعة. والحقيقة الطازجة تحت كل ذلك: وكيل اختبار اختراق مستقل عثر على ثغرة غير معروفة سابقًا بمسح الطبقة المفتوحة على نطاق واسع. الغموض مات. وتلك القدرة تقطع في الاتجاهين — المدافعون والمهاجمون ينالونها معًا — وهو ما يجعل وتيرة الترقيع، المتغيرَ الوحيد الذي يقع كليًا بيد المشغّل، المتغيرَ المهيمن. هيّئ العنصر الأولي مسبقًا قبل أن يهبط الضبط، ورقّعه بسرعة الوكلاء كي لا يصير هو الانكشاف. وأيٌّ من النصفين وحده يُخفق. أربع سنوات هي الكلفة. المكوث-والإصلاح هو المقياس. التهيئة المسبقة والترقيع هما الانضباط.

أربع سنوات

ابدأ بالكلفة، لأنها حقيقية ولا تمحوها أي مقارنة.

فطوال ما يقارب أربع سنوات، ظلّ أكثر من 30,000 تنصيب ذاتي الاستضافة من Gitea يقدّم صور الحاويات الخاصة به لكل من يطلبها. CVE-2026-27771: سجلّ الحاويات لم يكن يفرض المصادقة على الصور الموسومة بأنها خاصة. وطلب سحب قياسي مجهول عبر Docker أو OCI إلى واجهة برمجة السجل كان يعيد الصورة. بلا بيانات اعتماد. بلا سلسلة استغلال. مجرد طلب، يُجاب.

ووجدت شركة الأمن البريطانية Noscope نسخًا مكشوفة في بنى تحتية للرعاية الصحية والطيران ومزوّدي الإنترنت في أكثر من 30 بلدًا. وظلّت الثغرة في العراء سنوات قبل أن يلحظها أحد ممن لديهم اهتمام بالإفصاح عنها.

أربع سنوات أمر غير مقبول. فقد أمضت هذه النشرة نشراتها السابقة في هذه السلسلة وهي تحاجّ بأن الطبقة ذاتية الاستضافة، التي يتحكم فيها المستخدم، هي المضادّ لخطوط أنابيب الموردين المركزية وحرّاس المنصات — والشيء الصادق الذي ينبغي قوله، أولًا وبلا مراوغة، هو أن الطبقة ذاتية الاستضافة ليست سحرًا. إنها تحمل عبء انضباط. وتحمل مخاطرة زمن مكوث. وقراءة غير مصادَق عليها لمخططات الإنتاج طوال أربع سنوات هي بالضبط الإخفاق الذي سيشير إليه ناقدٌ لأطروحة جانب المستخدم، وسيكون محقًّا في الإشارة إليه.

فتصدّر هذه النشرة إذن أسوأ ما تبدو عليه طبقتها هي.

ثم تستعيد الأطروحة — لا بإنكار السنوات الأربع، بل بطرح السؤال الذي تقتضيه: مقارنةً بماذا، وماذا يحدث بعدها.

لأن بقية قصة Gitea هي الجزء الذي لا يستطيع خط أنابيب الموردين مضاهاته. فالثغرة عثر عليها وكيل اختبار الاختراق المستقل التابع لـ Noscope. وأسند القائمون على المشروع رقم CVE وشحنوا الإصلاح — Gitea v1.26.2 — في 20 مايو، قبل الإفصاح العلني في 25 مايو. ونسبت ملاحظات الإصدار الفضل للمكتشف. وسمّى الإفصاح Forgejo، الفرع المجتمعي الذي يشترك في تنفيذ السجل نفسه، بوصفه مصابًا أيضًا، كي يستطيع مشغّلوه الترقيع كذلك.

أربع سنوات مكوث. أيام للإصلاح. إفصاح مع الإشارة إلى الفرع وتسمية المكتشف.

هذا الاقتران هو المقال.

المخطط

لتفهم لماذا تُعدّ ثغرة في سجلّ حاويات مادةً رئيسية لا هامشًا، عليك أن تفهم ما صورة الحاوية.

صورة الحاوية لقطة محزومة قابلة للتشغيل لتطبيق وكل ما يحتاج إليه كي يعمل. وهذا يعني عمليًّا شفرة التطبيق المصدرية، وملفات الإعداد، و — أكثر كثيرًا مما تحب أفضل الممارسات الأمنية — بيانات اعتماد قواعد البيانات، ومفاتيح واجهات البرمجة، ونقاط الخدمات الداخلية، وشهادات TLS، محزومةً كلها في كائن واحد يسلّمه السجل عند الطلب.

وصياغة Noscope دقيقة: صورة الحاوية «مخطط تفصيلي لبيئة إنتاج». والمهاجم الذي يستطيع سحب صورة خاصة لا يحصل على شذرة. بل يحصل على الخريطة. اقرأ الصورة، واحصد بيانات الاعتماد والبنية، وسيكون لديك ما تحتاج إليه لبلوغ البنية التحتية الحيّة خلفها. فيصير الانكشاف عنصرًا أوليًّا للاختراق.

والاعتراض البديهي هو أن صور الحاويات ينبغي ألّا تحمل أسرارًا أصلًا — وأن بيانات الاعتماد مكانها مدير أسرار يحقنها وقت التشغيل، لا مخبوزةً داخل الصورة. وهذه ممارسة صحيحة، وهي تُنتهك باستمرار، في تنصيبات الرعاية الصحية والطيران ومزوّدي الإنترنت التي أظهرها مسح Noscope بالضبط. هذا هو عبء الانضباط، مسمًّى بصراحة: الطبقة ذاتية الاستضافة تكافئ المشغّل المتمرّس وتعاقب المهمل. فالمشغّل الذي أبقى الأسرار خارج صوره كان انكشافه أقل؛ والمشغّل الذي خبزها فيها سلّم المفاتيح. لكن حتى الصورة الخالية تمامًا من الأسرار تبقى مخططًا — مصدرًا وبنيةً واعتماديات ونقاط وصول — ومخطط بيئة إنتاج هو في ذاته أصلٌ للمهاجم.

وقد حوّلت الثغرة مخططات أكثر من 30,000 تنصيب إلى تنزيلات مجهولة. طوال أربع سنوات.

وُجدت وأُصلحت

الرقمان اللذان يهمّان يقفان جنبًا إلى جنب: نحو أربع سنوات مكوث، وأيام للإصلاح.

الرقعة — v1.26.2 — شُحنت في 20 مايو. والإفصاح العلني جاء في 25 مايو. فسبق الإصلاحُ الإفصاحَ، وهو الترتيب الذي يفترض بالإفصاح المسؤول أن يجري به وكثيرًا ما لا يجري. وحين صارت الثغرة معلومةً للعامة، كانت المعالجة متاحةً بالفعل لكل مشغّل عبر قناة التحديث نفسها التي يستخدمها أصلًا.

والأثر الورقي عام وقابل للتدقيق. رقم CVE مُسنَد ومرقَّم. والمكتشف — Noscope — منسوب إليه الفضل في ملاحظات الإصدار. والفرع المشتق — Forgejo — مسمًّى بوصفه يشترك في التنفيذ المصاب، كي يتمكن مشغّلوه من التصرّف بدل اكتشاف انكشافهم لاحقًا. وأي أحد يستطيع قراءة الالتزام البرمجي، وقراءة ملاحظات الإصدار، وقراءة الإفصاح، والتحقق من التسلسل الزمني.

وثمة مخاطرة متبقية حقيقية هنا، ولا بد من قولها: الرقعة لا تحمي إلا المشغّلين الذين يطبّقونها. فجزء من تلك التنصيبات التي تتجاوز 30,000 سيبقى بلا ترقيع أسابيع أو شهورًا، وهذا الذيل غير المرقّع مشكلة حقيقية وإخفاق انضباط. لكن ثمة فرقًا حاسمًا بين ذيل غير مرقّع ورقعةٍ غائبة. فإصلاح Gitea موجود ليُطبَّق. والمشغّل الذي لم يطبّقه بعد لديه مسار معالجة ينتظره. وهذا ليس صحيحًا بشأن كل ثغرة هذا الأسبوع — والتباين هو موضوع القسم التالي.

المكوث والإصلاح

الطريقة الخاطئة لتقييم الطبقة المفتوحة هي زمن المكوث وحده. فبهذا المقياس، أربع سنوات إدانةٌ وينتهي النقاش.

والطريقة الصحيحة هي المكوث-والإصلاح، عبر أربعة محاور: ما مدى سرعة وصول الإصلاح حين يُعرف الخلل؛ وكم يستمر الإخفاق إن لم يُعالَج؛ وهل المشتقات والمصبّ شفافة؛ وهل يملك الطرف المكشوف أي فاعلية على معالجته هو. وعلى المحاور الأربعة كلها، يقدّم هذا الأسبوع المقارنة.

السرعة والاستمرار. CVE-2008-4250 — وهي ثغرة في Microsoft Windows — أُعيد إدراجها في كتالوج الثغرات المستغَلّة المعروفة لدى CISA في 20 مايو، الأسبوع نفسه الذي أُفصح فيه عن ثغرة Gitea. وهي تُستغل بعد ثمانية عشر عامًا من وجود الرقعة. المورّد شحن إصلاحًا؛ ومكوث الجمهور المستغَلّ يُقاس بعقدين تقريبًا. مكوث Gitea كان أربع سنوات حتى الاكتشاف وأيامًا حتى الإصلاح؛ ومكوث CVE-2008-4250 ثمانية عشر عامًا ويستمر، والإصلاح متاح منذ زمن طويل والذيل المستغَلّ باقٍ رغم ذلك.

الإصلاح الغائب. تحمل CVE-2026-42897 في Microsoft Exchange Server موعدًا نهائيًا للمعالجة لدى الفرع التنفيذي المدني الفيدرالي هو اليوم، 29 مايو. ولا توجد رقعة دائمة. فالقطاع المدني الفيدرالي «يفي» بالموعد النهائي بالتخفيف، لا بالمعالجة، في اليوم 15 من الاستغلال النشط. وهذا نقيض مشغّل Gitea الذي طبّق v1.26.2 اليوم: فالوكالة المرتبطة بـ Exchange لا تستطيع تطبيق إصلاح غير موجود. يحلّ الموعد النهائي؛ ولا تحلّ المعالجة.

شفافية المشتقات. حين رُقّع Gitea، سُمّي Forgejo — الفرع — علنًا بوصفه يشترك في الثغرة. والمنتج مغلق المصدر لا يملك شجرة فروع عامة يُفصح إزاءها؛ فالانكشاف في المصبّ داخل سلسلة توريد احتكارية غير مرئي إلى أن يُخترق. وشفافية المشتقات في الطبقة المفتوحة خاصية بنيوية، لا مجاملة.

فاعلية المستخدم. كشف اختراق ShinyHunters لـ Canvas/Instructure نحو 275 مليون سجل عبر نحو 8,809 مؤسسات — و Canvas يحوز ما يقارب 41 في المئة من سوق أنظمة إدارة التعلّم في التعليم العالي بأمريكا الشمالية. والطلاب والمعلمون والعاملون في تلك البيانات لا يملكون أي مسار معالجة. فهم لم يتحكموا يومًا في التنصيب؛ ولا يستطيعون ترقيعه؛ ولا يستطيعون استرجاع بياناتهم. فالثغرة ذاتية الاستضافة قابلة للمعالجة من المشغّل الذي يتحكم في التنصيب. أما اختراق البرمجيات كخدمة فحارسٌ واحد يخسر بيانات الجميع دفعةً واحدة، بلا أي ملاذ من جهة المستخدم.

والنسخة الصادقة من هذه المقارنة عليها أن تسلّم باعتراض انحياز الناجين البديهي: فالمحاسبة المنصفة كانت ستُظهر أيضًا إصلاحات بطيئة في المصدر المفتوح ورقعًا سريعة من الموردين — فقد شحنت Microsoft تحديثًا لـ SharePoint هذا الأسبوع لـ CVE-2026-45659، بدرجة CVSS 8.8، وشحنته في موعده. والادعاء هنا ليس أن المفتوح يهزم المغلق دائمًا في أي حادثة منفردة. الادعاء يخص الخصائص البنيوية — شفرة قابلة للمسح، وشجرة فروع عامة، ومعالجة بيد المشغّل، وإطلاق عبر القناة نفسها للجميع دفعةً واحدة — وهي خصائص تملكها الطبقة المفتوحة ولا تملكها المغلقة. وهذه الخصائص هي ما يحوّل مكوثًا مدته أربع سنوات إلى إصلاح يستغرق أيامًا بأثر ورقي عام، بدل ذيل يمتد ثمانية عشر عامًا أو موعد نهائي لا رقعة خلفه.

واعتراض الإتاحة حقيقي أيضًا: فمعظم الناس لا يستطيعون الاستضافة الذاتية، ولذلك تبقى ميزة فاعلية المشغّل نظريةً بالنسبة إليهم. صحيح. فمقياس المكوث-والإصلاح يهمّ المشغّلين والمنصات والبنى التحتية التي تستضيف ذاتيًّا فعلًا — وهي، بحسب Noscope، تشمل تنصيبات الرعاية الصحية والطيران ومزوّدي الإنترنت التي ظهرت في المسح. والإطار هو عبء الانضباط الذي يحمله من يشغّلون الطبقة، لا ادعاءُ انطباقٍ شامل.

الطبقة المفتوحة تُخفق علنًا. تلك هي الكلفة — إخفاقاتها مرئية، وقابلة للمسح، وقابلة للعثور عليها. وهي أيضًا المضادّ: الإخفاقات المرئية تُصلَح، بسرعة، على الملأ، مع الإشارة إلى الفرع وتسمية المكتشف.

يقطع في الاتجاهين

الحقيقة الجديدة فعلًا في قصة Gitea ليست الثغرة. بل المكتشف.

فوكيل اختبار اختراق مستقل اكتشف ثغرة غير معروفة سابقًا بمسح الطبقة المفتوحة على نطاق واسع. لا ماسحًا يطابق بصمات ثغرات معروفة — بل وكيلًا استكشافيًّا وجد شيئًا لم يفهرسه أحد، في تنفيذ سجلّ ظلّ يشحن الخلل أربع سنوات. وصياغة Noscope تصف الوكيل وهو يقوم بالاكتشاف والشركةَ وهي تقوم بالإفصاح؛ وتفاصيل الآلية وراء ذلك تخصّهم هم، وليس لنا أن نقيسها.

والمترتّب هو ما يستحق التوقف عنده: الغموض مات. فالمكوث الممتد أربع سنوات حدث في زمن كان العثور فيه على ثغرة غير معروفة في سجلّ مفتوح المصدر متوسط الشيوع يقتضي باحثًا بشريًّا يختار أن ينظر. وعصر الوكلاء يزيل هذا الشرط. فالشفرة القابعة في العراء ستُمسَح — مسحًا شاملًا ورخيصًا ومستمرًّا.

وهذا يقطع في الاتجاهين، والاستدلال هنا مباشر لا منقول: فقدرة المسح المستقل نفسها التي مكّنت Noscope من إيجاد هذه الثغرة متاحة للمهاجمين. ولا يوجد تقرير يفيد بأن وكيلًا معاديًا عثر على هذه الثغرة بعينها — فالإفصاح إفصاح Noscope. لكن القدرة ليست حكرًا على المدافعين، وقدرةٌ تستطيع إيجاد ثغرة غير معروفة واحدة تستطيع إيجاد غيرها. والسباق بين وكلاء صديقين يجدون ويفصحون ووكلاء معادين يجدون ويستغلّون.

ولهذا فمتغيّر المشغّل هو وتيرة الترقيع. فزمن الكشف صار جزئيًّا خارج يد المشغّل — إذ سيجد الوكلاء، صديقين كانوا أو معادين، ما يمكن إيجاده وفق جدولهم لا جدوله. أما زمن الترقيع فيقع كليًّا بيده. وفي عصر الوكلاء، تصير المدة بين شحن الإصلاح وتطبيق المشغّل له المتغيرَ الأمني المهيمن، لأنها المتغير الذي يتحكم فيه المشغّل. ونموذج الإطلاق في الطبقة المفتوحة — قناة واحدة، لكل المشغّلين دفعةً واحدة — مبنيّ للاعتماد السريع. وهل يستخدمه المشغّلون فعلًا؟ ذلك سؤال الانضباط، وهو الآن السؤال الأهمّ.

«الذكاء الاصطناعي يجعل الطبقة المفتوحة أكثر أمانًا» قراءةٌ متفائلة، وهي نصف صحيحة: فالوكلاء الصديقون وجدوا هذه الثغرة. والنصف الآخر أن التراخي صار قاتلًا، لأن الوكلاء المعادين يمسحون هم أيضًا. والخلاصة ليست الأمان. الخلاصة هي الترقيع بسرعة الوكلاء.

أربعة عشر يومًا وموعد نهائي بلا رقعة

جرت ساعات المؤسسات بالتوازي هذا الأسبوع، وجرت في الاتجاه الآخر.

تنتهي مدة المادة 702 من قانون مراقبة الاستخبارات الأجنبية بعد أربعة عشر يومًا، في 12 يونيو. ومجلس الشيوخ في عطلة حتى 1 أو 2 يونيو. ورأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس لا يزال سريًّا؛ ويقول مكتب مدير الاستخبارات الوطنية إنه يعمل «على وجه السرعة» على رفع السرية، دون الالتزام بموعد. وبحسب ما نُقل عن الرأي الذي لا يزال سريًّا — وفي مقدمة من نقله برنت سكوروب في American Prospect — وجدت المحكمة أن مشكلة أداة الفلترة تمتد عبر مجتمع الاستخبارات: إذ أوقف FBI أداة الاستعلام بعينها التي كان يستخدمها في 2024، لكنه يستخدم أداة أخرى بالوظيفة نفسها. وقد وقّع رئيس لجنة الاستخبارات في مجلس الشيوخ توم كوتون ونائبه مارك وارنر معًا مطلبَ رفع السرية الموجّه إلى غابارد، مدير الاستخبارات الوطنية، وإلى تود بلانش، النائب العام بالإنابة؛ وكان السيناتور وايدن الصوت الأعلى في الإصرار على أن يصير الرأي علنيًّا قبل التصويت على إعادة التفويض.

وهذا لا يعادل خللًا برمجيًّا، ولا يعادل الشبكة المفلترة في إيران، والمقال يبقي الأعمدة منفصلة. فالولايات المتحدة لديها قانون أوامر قضائية، ومحكمة تخاصمية هي التي كتبت الرأي محلّ النقاش، ورقابة برلمانية تفاوضت على رفع سريته، وصحافة حرة تنقل عن الوثيقة السرية. والخيط المشترك ضيّق ومذكور بوصفه كذلك: فمثل الوكالة المرتبطة بـ Exchange التي لا تستطيع تطبيق إصلاح غير موجود، ومثل مستخدم Canvas الذي لا مسار معالجة له، يُطلب من الجمهور أن يقبل واقعةً لا يستطيع رؤيتها — رأي 17 مارس — وقدرةَ استعلام لا يستطيع التحكم فيها.

وتعزّز كومة المواعيد النهائية لدى الموردين هذا التباين. فالموعد النهائي لـ Exchange OWA لدى الفرع التنفيذي المدني الفيدرالي يحلّ اليوم بلا رقعة دائمة. ومنحت CISA الوكالات الفيدرالية أربعة أيام لتأمين إضافة LiteSpeed لـ cPanel، وهي مستغَلّة بنشاط. أما SharePoint CVE-2026-45659 فنال تحديثه — الإصلاح الموجود. والثغرتان الصفريتان التوأمان في Microsoft Defender، CVE-2026-41091 و CVE-2026-45498، تحملان موعدًا نهائيًّا لدى الفرع التنفيذي المدني الفيدرالي في 3 يونيو، بعد خمسة أيام.

الخيط الناظم: الطرف المكشوف يسابق ساعة شخص آخر. فوكالة Exchange تسابق رقعةً لم تُكتب. وجمهور §702 يسابق مراجعةَ رفع سرية بلا موعد. ومشغّل Gitea الذي طبّق v1.26.2 اليوم سابق ساعةً أيضًا — وأنهاها، لأن الإصلاح كان موجودًا والقناة أوصلته. ذلك هو الفرق الذي تشتريه مساءلة الطبقة المفتوحة.

نمط إخفاق الحارس

اختراقات هذا الأسبوع هي النقيض السحابي للمادة الرئيسية — الحارس المركزي يخسر بيانات الجميع دفعةً واحدة، بلا أي ملاذ من جهة المستخدم.

Canvas/Instructure. نحو 275 مليون سجل، ونحو 8,809 مؤسسات، من بينها Harvard و Stanford و UC Berkeley، في منصة تحوز نحو 41 في المئة من سوق أنظمة إدارة التعلّم في التعليم العالي بأمريكا الشمالية؛ ShinyHunters؛ وفدية دُفعت في منتصف مايو. والخاصية الفارقة، بالنسبة إلى حجّة هذه النشرة، هي غياب مسار معالجة للمستخدم. فمشغّل Gitea ذاتي الاستضافة كان يستطيع سحب v1.26.2 وإغلاق الثغرة اليوم. أما الـ 275 مليون إنسان في بيانات Canvas فلا يستطيعون فعل شيء. لم يشغّلوا التنصيب، ولا يستطيعون ترقيعه، ولا يستطيعون سحب ما أُخذ. المركزية مضاعِف دفاعي حين تعمل، ومضاعِف هجومي حين تُخفق: اختراق واحد، والجميع مكشوف، ولا ملاذ فرديّ.

Silent Ransom Group. حذّر تنبيه FLASH الصادر عن FBI يومي 26-27 مايو من أن طاقم الابتزاز الإجرامي — Luna Moth، UNC3753، إجرامي لا تابع لدولة — يستهدف مكاتب المحاماة بهندسة اجتماعية تتصاعد إلى حضور مادي: بريد تصيّد، ثم مكالمة دعم تقني مزيّفة، ثم جلسة سطح مكتب بعيد، وحين يفشل ذلك، عميلٌ يدخل المكتب ماشيًا ويُدخِل ذاكرة USB. أكثر من 38 مكتبًا على موقع التسريب، وما يُقدَّر بأكثر من 100 إجمالًا. وهو النظير الهجومي لفكرة «ضوابط لا تُفرَض» — إذ يحمل المحيط البشري الفجوة نفسها التي حملها سجل Gitea، تحقّقٌ لم يجرِ ببساطة.

Carnival. نحو 6 مليون إنسان، تأكّد في 28 مايو. نموذج مصغّر لنمط إخفاق الحارس نفسه: حارس واحد، اختراق واحد، والملايين مكشوفون.

طبقة المتلقّي: الضبط، اليوم

استمرت طبقة ضبط الدولة عند كل مستوى من المكدّس، والمضادّ من جهة المستخدم ينفد عند الطبقات التي تمسك فيها الدولة بالجهاز أو بالسجل.

الناقل — إيران، اليوم 3-4 من الاستعادة. كما وثّقت نشرة 28 مايو في هذه المنصة، بلغت الاستعادة ذروتها عند نحو 40 في المئة من مستويات ما قبل الإغلاق، وظلّت الشبكة المفلترة فاعلةً تمامًا، وعتاد الفحص العميق للحزم الصيني اللازم لخنق دائم موجود في مكانه. الاستعادة ليست عودة. هذا هو المؤشر؛ والحجّة لا يُعاد التقاضي فيها هنا.

السجل — المكسيك، CURP Biométrica. اثنان وثلاثون يومًا حتى الموعد النهائي في 30 يونيو؛ والتسجيل لا يزال دون 10 في المئة. وهذا هو الحدّ الصادق لأطروحة جانب المستخدم: فأمام سجلّ بيومتري إلزامي، لا يوجد عنصر أوليّ من جهة العميل يتيح للمرء أن يمتثل ويحتجب في آن. والمضادّ لسجلّ إلزامي سياسيّ وقانونيّ، لا تشفيريّ. فمكدّس جانب المستخدم ينفد هنا، وقول ذلك جزء من إحسان استخدامه.

البثّ — النيجر، اليوم 21؛ بوركينا فاسو، اليوم 24. يستمر قمع مصادر الإعلام الدولية. والمضادّ هو التوزيع المقاوم للرقابة ووسائل النقل المقاومة للفحص العميق للحزم — مهيّأةً مسبقًا، وفق درس النشرة السابقة.

الجهاز — هونغ كونغ، قانون الأمن القومي. فكّ التشفير القسري يدخل حيّز التشغيل. فالتشفير طرفًا إلى طرف يحمي الرسالة من إفصاح المنصة؛ لكنه لا يحمي هاتفًا أُلزم صاحبه قانونًا بفتحه. والمضادّ عند طبقة الجهاز نظام تشغيل مقوّى، وأمن عمليات، وتقليل ما يحمله الجهاز — مذكورًا بوصفه حدًّا، لا مطموسًا.

خط أنابيب البروتوكولات: المضادّ، طبقةً طبقة

يتصدّر خط الأنابيب هذا الأسبوع، على نحو لائق، بالطبقة المفتوحة وهي تُصلح بسرعة.

ذاتية الاستضافة. Gitea و Forgejo v1.26.2 — الكلفة والمضادّ في سطر واحد. فالثغرة هي برهان النشرة على مخاطرة زمن المكوث في طبقتها نفسها؛ وتوافر الرقعة في اليوم نفسه هو برهان المساءلة.

المالية. أُغلق تدقيق Trail of Bits لـ Monero FCMP++ في 22 مايو — التقرير قيد الانتظار، وتفعيل الشبكة الرئيسية مشروط بالمعالجة، لا «مُدقَّق ونظيف». وأُطلقت شبكة Zcash التجريبية NU7 في 22 مايو. ومساءلة التدقيق المفتوح هي نظير إفصاح Gitea عند الطبقة المالية: نتائج تُنشر، وإصلاحات تُشترط، وأثر ورقي عام.

الاتصالات. يستمر طرح تشفير Discord طرفًا إلى طرف DAVE إلى نحو 200 مليون مستخدم نشط شهريًّا؛ ويستمر تطوير Sparse Post-Quantum Ratchet لدى Signal. وحدّ هونغ كونغ ينطبق هنا: التشفير طرفًا إلى طرف يدافع عن القناة، لا عن الطرف المُكرَه.

الشبكة والنقل. Tor Browser 15.0.14؛ وشبكة URnetwork التراكبية الندّية؛ ووسائل النقل المقاومة للفحص العميق للحزم — VLESS+Reality و Shadowsocks-2022 — لبيئات الخنق التي وصفتها النشرة السابقة؛ و BIP324 v2 و BIP352 عند طبقة القيمة.

الجهاز. يبقى GrapheneOS 2026050900 و CalyxOS 7.2.1.0 خطَّي الأساس المقوَّيَين.

الأساس. ML-KEM و ML-DSA و SLH-DSA؛ وانتهاء عمر FIPS 140-2 يحلّ في 21 سبتمبر.

والاعتراف الصادق الذي يقتضيه خط الأنابيب: إنه يعتمد على المؤسسات أيضًا. منح Tor، وشركة تدقيق Monero، ومؤسسة Zcash. والادعاء الأضيق الباقي هو الذي حملته هذه السلسلة طوال الوقت — خط الأنابيب لا ينضغط حول تقويم أي دولة بعينها، والعناصر الأولية، متى شُحنت، تعمل على جهاز المستخدم بصرف النظر عن الوسيط.

هيّئ مسبقًا ورقّع

درسا الأسبوع انضباطٌ واحد بنصفين.

هيّئ العنصر الأولي مسبقًا قبل أن يهبط الضبط. ذلك هو درس إيران، من النشرة السابقة: فمن حافظوا على النفاذ خلال الإظلام الممتد 88 يومًا هم من كانوا قد هيّأوا Starlink والشبكات الشبكية وأدوات الالتفاف قبل أن تُغلق الشبكة، لأن أدوات الالتفاف حول الخنق تعيش على الجانب الآخر منه.

ورقّع العنصر الأولي بسرعة الوكلاء كي لا يصير هو الانكشاف. ذلك هو درس Gitea، من اليوم: فالطبقة ذاتية الاستضافة التي يتحكم فيها المستخدم ليست مضادًّا إلا إذا شغّلها المشغّل بانضباط، لأن قراءةً غير مصادَق عليها لمخططات الإنتاج طوال أربع سنوات هي ما يبدو عليه الإهمال في الطبقة المفتوحة، ولأن عصر الوكلاء يضمن أن ما يقبع في العراء سيُعثر عليه.

وأيٌّ من النصفين وحده يُخفق. هيّئ مسبقًا دون أن ترقّع، فيصير العنصر الذي جهّزته هو الثغرة. ورقّع دون أن تهيّئ مسبقًا، فتكون منضبطًا حيال أدوات لا تستطيع بلوغها حين يهبط الضبط. مكدّس جانب المستخدم ليس سحرًا، وهذه النشرة برهانها هو — فالمكوث الممتد أربع سنوات هو الكلفة، مذكورةً أولًا وبلا تهوين. والجواب هو المكوث-والإصلاح مع الانضباط، لا الإنكار.

أربع سنوات هي الكلفة.

أما الإخفاق علنًا، والإصلاح السريع، والإشارة إلى الفرع، ونسبة الفضل للمكتشف، وتسليم المشغّل مسار معالجة موجودًا فعلًا — فذلك هو المضادّ الذي لا يملكه الذيل الممتد ثمانية عشر عامًا ولا الموعد النهائي الذي يلتقي اليوم بلا رقعة.

الطبقة المفتوحة تُخفق علنًا. وتُصلح بسرعة.

هيّئ مسبقًا ورقّع.


URnetwork شبكة تراكبية ندّية للنقل المقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم عند طبقة الشبكة. وإصدار خادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية الندّية، فيفصل النقل عن طبقة الناقل. وشفرة URnetwork مفتوحة وقابلة للتدقيق — وهي الخاصية التي تحاجّ هذه النشرة بأنها تكشف عيوب الطبقة وتجعلها تُصلَح في آن.

https://ur.io

Further Discussion

أربع سنوات

**الموقف.** ابدأ بالكلفة، لأنها حقيقية ولا تمحوها أي مقارنة. فطوال ما يقارب أربع سنوات، ظلّ أكثر من 30,000 تنصيب ذاتي الاستضافة من Gitea يقدّم صور الحاويات الخاصة به لكل من يطلبها. CVE-2026-27771: سجلّ الحاويات لم يكن يفرض المصادقة على الصور الموسومة بأنها خاصة؛ وطلب سحب مجهول قياسي عبر Docker/OCI كان يعيد الصورة — بلا بيانات اعتماد، وبلا سلسلة استغلال، مجرد طلب، يُجاب. ووجدت شركة الأمن البريطانية Noscope نسخًا مكشوفة في بنى تحتية للرعاية الصحية والطيران ومزوّدي الإنترنت في أكثر من 30 بلدًا. وصورة الحاوية، بصياغة Noscope، هي «مخطط تفصيلي لبيئة إنتاج» — شفرة مصدرية وإعدادات، وكثيرًا ما تضمّ بيانات اعتماد قواعد البيانات ومفاتيح واجهات البرمجة وشهادات TLS، محزومةً كلها في كائن واحد قابل للسحب. والمهاجم الذي يسحب صورة خاصة يحصل على الخريطة: يقرأها، ويحصد بيانات الاعتماد والبنية، فيبلغ البنية التحتية الحيّة. وقد أمضت هذه النشرة نشراتٍ سابقةً وهي تناصر الطبقة ذاتية الاستضافة، التي يتحكم فيها المستخدم، بوصفها المضادّ لخطوط أنابيب الموردين المركزية — لذا فالمكان الصادق للبدء هو الاعتراف بأن الطبقة ذاتية الاستضافة ليست سحرًا. إنها تحمل عبء انضباط ومخاطرة زمن مكوث، وأربع سنوات من قراءة غير مصادَق عليها لمخططات الإنتاج إخفاقٌ حقيقي. لكن المقياس الصحيح ليس زمن المكوث وحده — بل المكوث-والإصلاح. فالثغرة في Gitea وُجدت أربع سنوات، واكتشفها وكيل اختبار اختراق مستقل، ورقّعها القائمون على المشروع في أيام (شُحنت v1.26.2 في 20 مايو، قبل الإفصاح في 25 مايو)، وأُطلقت عبر القناة نفسها لكل مشغّل دفعةً واحدة، ونُسبت إلى مكتشفها في ملاحظات الإصدار، وأُفصح عنها مع تسمية الفرع المشتق Forgejo علنًا كي يستطيع مشغّلوه الترقيع أيضًا. أربع سنوات مكوث. أيام للإصلاح. إفصاح مع الإشارة إلى الفرع وتسمية المكتشف. هذا الاقتران هو القصة. الطبقة المفتوحة تُخفق علنًا — إخفاقاتها مرئية، وقابلة للمسح، وقابلة للعثور عليها. تلك هي الكلفة. وهي أيضًا المضادّ: الإخفاقات المرئية تُصلَح، بسرعة، على الملأ، وبمسار معالجة موجود فعلًا. **عناوين مرشّحة.** - أربع سنوات · زمن المكوث في الطبقة ذاتية الاستضافة - المخطط · 30,000 تنصيب، يسحبها أي أحد - وُجدت وأُصلحت · الطبقة المفتوحة تُخفق علنًا - المكوث والإصلاح · المقياس الصحيح **الخاتمة.** أربع سنوات مكوث، أيام للإصلاح، إشارة إلى الفرع، ونسبة إلى المكتشف. الطبقة المفتوحة تُخفق علنًا — وتُصلح بسرعة. تلك هي الكلفة والمضادّ في سطر واحد.

مقارنةً بماذا

**الموقف.** أربع سنوات أمرٌ غير مقبول — والسؤال الذي تقتضيه هذه السنوات الأربع هو: مقارنةً بماذا، وماذا يحدث بعدها. وهذا الأسبوع يقدّم المقارنة على أربعة محاور. السرعة والاستمرار: CVE-2008-4250، وهي ثغرة في Microsoft Windows، أُعيد إدراجها في كتالوج الثغرات المستغَلّة المعروفة لدى CISA في 20 مايو — الأسبوع نفسه الذي أُفصح فيه عن ثغرة Gitea — وما تزال تُستغل بعد ثمانية عشر عامًا من وجود الرقعة. مكوث Gitea كان أربع سنوات حتى الاكتشاف وأيامًا حتى الإصلاح؛ أما مكوث CVE-2008-4250 فثمانية عشر عامًا ويستمر، والإصلاح متاح منذ زمن طويل، والذيل المستغَلّ باقٍ. الإصلاح الغائب: تحمل CVE-2026-42897 في Microsoft Exchange Server موعدًا نهائيًا للمعالجة لدى الفرع التنفيذي المدني الفيدرالي هو اليوم، 29 مايو، بلا رقعة دائمة — تخفيف فقط، في اليوم 15 من الاستغلال النشط. القطاع المدني الفيدرالي يفي بموعد نهائي بالتخفيف لأن الإصلاح غير موجود؛ أما المشغّل ذاتي الاستضافة الذي طبّق Gitea v1.26.2 اليوم فقد أغلق الثغرة لأن الإصلاح موجود. شفافية المشتقات: حين رُقّع Gitea، سُمّي Forgejo — الفرع — علنًا؛ والمنتج مغلق المصدر لا يملك شجرة فروع عامة، فيبقى الانكشاف الاحتكاري في المشتقات غير مرئي إلى أن يُخترق. فاعلية المستخدم: كشف اختراق ShinyHunters لـ Canvas/Instructure نحو 275 مليون سجل عبر نحو 8,809 مؤسسات، وأولئك الطلاب والعاملون لا يملكون أي مسار معالجة لأنهم لم يتحكموا يومًا في التنصيب — حارس واحد يخسر بيانات الجميع دفعةً واحدة، بلا أي ملاذ من جهة المستخدم، وهو النقيض السحابي للمشغّل الذي يستطيع الترقيع. الاعتراف الصادق: المقارنة المنصفة كانت ستُظهر أيضًا إصلاحات بطيئة في المصدر المفتوح ورقعًا سريعة من الموردين — فقد شحنت Microsoft تحديثًا لـ SharePoint هذا الأسبوع (CVE-2026-45659، CVSS 8.8) في موعده — فالادعاء ليس أن المفتوح يفوز دائمًا في أي حادثة منفردة. الادعاء يخص الخصائص البنيوية: شفرة قابلة للمسح، وشجرة فروع عامة، ومعالجة بيد المشغّل، وإطلاق عبر القناة نفسها للجميع دفعةً واحدة. والحقيقة الجديدة فعلًا تحت كل ذلك: وكيل اختبار اختراق مستقل عثر على ثغرة غير معروفة سابقًا بمسح الطبقة المفتوحة على نطاق واسع. الغموض مات، وذلك يقطع في الاتجاهين — المدافعون والمهاجمون ينالون القدرة معًا — وهو ما يجعل وتيرة الترقيع، وهي المتغير الوحيد الذي يقع كليًا بيد المشغّل، المتغيرَ المهيمن. وساعات المؤسسات جرت في الاتجاه الآخر هذا الأسبوع: تنتهي المادة §702 بعد أربعة عشر يومًا فيما لا يزال رأي محكمة FISC الصادر في 17 مارس سريًّا (وبحسب ما نُقل، مشكلة أداة الفلترة تمتد عبر مجتمع الاستخبارات — إذ أوقف FBI أداته لعام 2024 لكنه يستخدم أداة مكافئة)؛ ويحلّ موعد Exchange النهائي بلا رقعة؛ ومنحت CISA أربعة أيام بشأن إضافة LiteSpeed لـ cPanel. الطرف المكشوف يسابق ساعة شخص آخر. ومشغّل Gitea سابق ساعةً أيضًا — وأنهاها، لأن الإصلاح كان موجودًا والقناة أوصلته. هيّئ العنصر الأولي مسبقًا قبل أن يهبط الضبط، ورقّعه بسرعة الوكلاء كي لا يصير هو الانكشاف. وأيٌّ من النصفين وحده يُخفق. **عناوين مرشّحة.** - مقارنةً بماذا · المكوث-والإصلاح عبر أربعة محاور - ثمانية عشر عامًا مقابل أربع · ذيل المورّد والإصلاح المفتوح - الموعد النهائي بلا رقعة · Exchange OWA يبلغ 29 مايو - التهيئة المسبقة والترقيع · نصفا انضباط واحد **الخاتمة.** وكالة Exchange تسابق رقعةً لم تُكتب بعد؛ وجمهور §702 يسابق رفعًا للسرية بلا موعد؛ ومشغّل Gitea سابق ساعةً وأنهاها، لأن الإصلاح كان موجودًا. هيّئ مسبقًا ورقّع.

Comics

#1أربع سنوات
#2مقارنةً بماذا