# إصلاحات Tailworm من Tailscale، وMac git وشهادات eMudhra، وتغيير بحث الويب في Discord، ودعاوى المؤلفين ضد Anthropic: أربع قصص مطور في Daily Diff واحد

Published: 2026-10-28

أربع قصص مطور من يوم أربعاء واحد، تُنسب كل منها إلى مصدرها الأساسي: أصدرت Tailscale الإصدار 1.104.4 بعد تقرير باحث باسم Tailworm وصف إعادة توجيه SSH التي وصلت إلى مآخذ توصيل مخصصة للجذر فقط؛ ويقول موقع باحث إن git وcurl وpython على macOS لا تزال تقبل شهادات من وسيطات eMudhra المخترقة، بينما تشرح صفحة دعم Apple سبب قراءة أدوات سطر الأوامر لملف شهادة منفصل؛ وتقول Discord إن مناقشات الخوادم القابلة للاكتشاف ستنتقل إلى بحث الويب اعتبارًا من منتصف ديسمبر، مع توفر عناصر التحكم الآن؛ وذكرت صحيفة ستانفورد ديلي أن الأساتذة الذين اختاروا عدم المشاركة في تسوية Bartz يرفعون دعوى قضائية ضد Anthropic بشكل منفصل. الدعاوى هي ادعاءات، وإصلاح Apple ليس له تاريخ منشور، والحكم هو NEEDS REVIEW.

Canonical: https://thedailydiff.dev/ar/video/2026-10-28-tailworm-emudhra-discord/

## ما يغطيه هذا الفيديو

- تقول Tailscale (منشور مدونة، 28 أكتوبر 2026) إنها تلقت تقرير Tailworm، الذي نشره الباحث إيريكا وينديش من Cyberdione Labs، صباح يوم السبت 24 أكتوبر، وأن الباحث نشره بعد ساعتين. كانت الإصدارات التي تم اختبارها هي Tailscale 1.104.2 وheadscale 0.29.5. إصلاحات Tailscale موجودة في الإصدار 1.104.4، مع أربع نشرات أمنية مرقمة من TS-2026-014 إلى TS-2026-017.
- تقول نشرة Tailscale حول إعادة توجيه مأخذ توصيل Unix لـ SSH إن خادم SSH في عملية tailscaled ذات الامتيازات الجذرية قام بالتحقق من مسارات المآخذ لفظيًا ولكنه أجرى العمليات كجذر، مما سمح بالاتصال المتميز من خلال إعادة التوجيه المحلي، وحذف مآخذ التوصيل المملوكة للجذر من خلال إعادة التوجيه عن بعد، وسباق حيث يقوم النواة بإعادة حل المسار بعد التحقق. الأهداف التي يمكن الوصول إليها شملت مأخذ Docker وواجهة برمجة تطبيقات tailscaled المحلية. تقوم Tailscale الآن بإعادة توجيه المآخذ كمستخدم مصادق عليه. حتى يتم التحديث، يؤدي تعيين متغير البيئة الموثق TS\_SSH\_DISABLE\_FORWARDING إلى 1 إلى تعطيل إعادة التوجيه دون تعطيل Tailscale SSH.
- تقول Tailscale إن الاستغلال يتطلب نقطة انطلاق موجودة على جهاز مصرح به في شبكة tailnet، مع الوصول إلى SSH وإعادة التوجيه المسموح بها بموجب السياسة، وأن المسار هو حركة جانبية تقتصر على الاتصالات التي تسمح بها السياسة، ولا يصف دودة تتكاثر ذاتيًا. تقول صفحة الباحث إن العيوب تم العثور عليها بجهد منخفض.
- يقول موقع باحث يديره دينيس جاكسون بمساهمين من المجتمع إن Apple أُخطرت بحادث شهادة eMudhra الوسيطة في 17 أكتوبر، وأنه اعتبارًا من 28 أكتوبر، لا تزال git وcurl وpython3 التي يتم شحنها مع macOS تقبل الشهادات المخترقة؛ ويقول أيضًا إن macOS 27.2، الذي تم إصداره في 26 أكتوبر، لم يحل المشكلة وألغى الحلول اليدوية. تؤكد صفحة دعم Apple الانقسام: منذ 19 أكتوبر، تحظر Safari وMail والتطبيقات على أطر عمل Apple الشهادات، بينما يمكن لأدوات مثل curl وgit وpython3 وruby وperl وopenssl التي تتحقق من /etc/ssl/cert.pem أن تستمر في قبولها حتى تحديث مستقبلي. تقدم صفحة Apple خطوات يدوية اختيارية وتحذر من أن التحديث يمكن أن يحل محل الملف.
- يقول منشور مدونة Discord (27 أكتوبر 2026) إن جميع الخوادم القابلة للاكتشاف، والتي تحتاج إلى 1000 عضو على الأقل ويبلغ عددها أكثر من 63000، ستحصل على صفحة ويب عامة للخادم اعتبارًا من 16 نوفمبر 2026، مع إمكانية بدء ملخصات القنوات التلقائية في نفس اليوم. اعتبارًا من منتصف ديسمبر 2026، يمكن أن تظهر الرسائل من القنوات العامة المسموح بها للمسؤولين على صفحات ويب الخادم وفي بحث الويب بدون أسماء مستخدمين أو صور رمزية. إذا لم يغير المسؤولون أي شيء، فستظل القنوات العامة قيد التشغيل. تتوفر عناصر تحكم المسؤول (إعدادات الخادم، الوجود على الويب) ومفتاح العضو (إعدادات المستخدم، البيانات والخصوصية) الآن؛ إعداد العضو معطل افتراضيًا في الاتحاد الأوروبي والمملكة المتحدة وكندا والبرازيل وأستراليا وكوريا الجنوبية، ويتم استبعاد حسابات المراهقين.
- ذكرت صحيفة ستانفورد ديلي (27 أكتوبر 2026) أن أساتذة من بينهم توبياس وولف اختاروا عدم المشاركة في تسوية Bartz v. Anthropic البالغة 1.5 مليار دولار، والتي تغطي ما يقرب من 500000 عمل مسجل بحوالي 3000 دولار لكل عمل، ويرفعون دعوى قضائية ضد Anthropic بشكل منفصل، مطالبين بمحاكمة أمام هيئة محلفين، وتعويضات قانونية تصل إلى 150000 دولار لكل عمل وأمر قضائي ضد التدريب على كتبهم. يلخص المقال حكم القاضي ويليام ألسوب السابق بأنه وجد التدريب على الكتب المكتسبة بشكل قانوني استخدامًا عادلًا، وبناء مكتبة دائمة من النسخ المقرصنة ليس كذلك. الدعاوى الجديدة هي ادعاءات؛ لم يتم العثور على حكم بشأن مطالباتهم.

## أسئلة وأجوبة

### ماذا وجد تقرير Tailworm في Tailscale SSH، وما هو الإصدار الذي يصلحه؟

تقول نشرة Tailscale إن خادم SSH الخاص بها، الذي يعمل كجذر في عملية tailscaled، قام بالتحقق من مسارات مآخذ توصيل Unix بنصها ثم قام بالعمل كجذر. سمح ذلك لجلسة مصرح بها مع السماح بإعادة التوجيه بالوصول إلى مآخذ توصيل مخصصة للجذر فقط مثل مأخذ توصيل Docker أو واجهة برمجة تطبيقات tailscaled المحلية. الإصلاحات موجودة في الإصدار 1.104.4 من Tailscale، ويتم الآن إعادة توجيه مآخذ التوصيل كمستخدم مسجل الدخول.

### كيف أقوم بإيقاف تشغيل إعادة توجيه SSH في Tailscale حتى أتمكن من التحديث؟

توثق نشرة Tailscale تعيين متغير البيئة TS\_SSH\_DISABLE\_FORWARDING إلى 1 في بيئة خدمة tailscaled وإعادة تشغيل الخدمة. يؤدي ذلك إلى تعطيل إعادة التوجيه دون تعطيل Tailscale SSH بالكامل. توصي Tailscale أيضًا بمراجعة سياسات الوصول إلى SSH والتحديث إلى الإصدار 1.104.4 أو أحدث، وتقول إن المهاجم يحتاج إلى نقطة انطلاق موجودة على جهاز مصرح به.

### هل لا تزال git وcurl على جهاز Mac تثق في شهادات eMudhra المخترقة؟

يقول موقع باحث يديره دينيس جاكسون إنه اعتبارًا من 28 أكتوبر، لا تزال git وcurl وpython3 التي يتم شحنها مع macOS تقبل شهادات من وسيطات eMudhra المخترقة، وأن macOS 27.2 لم يصلح ذلك. تؤكد صفحة دعم Apple أن الأدوات التي تتحقق من ملف /etc/ssl/cert.pem لا تزال تقبلها حتى تحديث مستقبلي، بينما تحظرها Safari وMail منذ 19 أكتوبر.

### ماذا ستغير Discord للخوادم العامة، وكيف يقوم المسؤولون والأعضاء بإلغاء الاشتراك؟

تقول Discord إن كل خادم قابل للاكتشاف، أي 1000 عضو على الأقل، يحصل على صفحة ويب عامة للخادم في 16 نوفمبر 2026، ويمكن أن تظهر الرسائل من القنوات العامة المسموح بها للمسؤولين في بحث الويب اعتبارًا من منتصف ديسمبر. يختار المسؤولون القنوات في إعدادات الخادم ضمن الوجود على الويب. يمكن للأعضاء إيقاف تشغيل رسائلهم في إعدادات المستخدم ضمن البيانات والخصوصية؛ يبدأ إعداد العضو معطلاً في ست مناطق.

### ما هو حكم The Daily Diff على هذه القصص الأربع؟

كان حكم The Daily Diff هو NEEDS REVIEW. سبب نيكو هو أن إصلاح Tailscale قد صدر ولكن الخوادم لم يتم تحديثها بعد، وثغرة سطر أوامر Apple لا تزال مفتوحة، وإعدادات Discord الافتراضية تعمل في 16 نوفمبر، ومطالبات المؤلفين ضد Anthropic لا تزال ادعاءات. النصيحة هي تحديث Tailscale، والتحقق من git الخاص بك، ومراجعة إعدادات Discord وقراءة المصادر الأساسية.

## الفصول

- 0:00 مقدمة باردة: جلسة Tailscale SSH ومآخذ التوصيل المخصصة للجذر فقط
- 0:50 القصة الأولى: ما الذي يمكن أن تصل إليه جلسة Tailscale SSH
- 1:43 القصة الثانية: لماذا لا يزال git على جهاز Mac يثق في eMudhra
- 2:54 القصة الثالثة: Discord تنقل الخوادم العامة إلى بحث الويب
- 4:06 القصة الرابعة: مؤلفون وكلود ودعوى قضائية ثانية
- 5:35 الحكم: NEEDS REVIEW

## النص المترجم

مترجم من السرد الإنجليزي الأصلي. يتم التحكم في الصوت والتعليقات التوضيحية المتاحة بواسطة YouTube.

### مقدمة باردة: جلسة Tailscale SSH ومآخذ التوصيل المخصصة للجذر فقط

0:00 تسجيل الدخول إلى Tailscale SSH يبقيك داخل حساب المستخدم الخاص بك. يصف تقرير نُشر يوم السبت جلسات تصل إلى مآخذ توصيل مخصصة للجذر فقط يجب أن تلمس، وقد شحنت Tailscale إصلاحات هذا الأسبوع. في هذا الفيديو، أربع قصص. ما الذي يمكن أن تصل إليه جلسة Tailscale SSH؟ لماذا لا يزال git على جهاز Mac يثق في الشهادات الملغاة؟ ماذا سيتغير لخوادم Discord العامة في السادس عشر من نوفمبر؟ وماذا يدعي المؤلفون في دعاويهم القضائية ضد Anthropic؟

0:27 هناك أيضًا سبب يدفع Tailscale إلى التراجع عن اسم هذا التقرير. سأحفظه للنهاية. إنه يوم الأربعاء، الثامن والعشرون من أكتوبر، وهذا هو The Daily Diff. يربط Tailscale أجهزتك بشبكة خاصة واحدة، وTailscale SSH هو خادم SSH المدمج فيه، والذي يتحقق من هويتك في Tailscale بدلاً من ملف المفتاح. يعمل داخل عملية ذات امتيازات جذرية. فكر في حارس باب يحمل أيضًا المفتاح الرئيسي.

### القصة الأولى: ما الذي يمكن أن تصل إليه جلسة Tailscale SSH

0:50 القصة الأولى. قامت باحثة الأمن إيريكا وينديش باختبار Tailscale 1.104.2 لمدة ثلاثة أيام ونشرت تقريرًا بعنوان Tailworm. تقول Tailscale إن التقرير وصلها صباح يوم السبت، ونشرته الباحثة بعد ساعتين. النتيجة الرئيسية هي إعادة توجيه المقبس. تقول نشرة Tailscale الخاصة بها إن خادم SSH الخاص بها يعمل كجذر، تحقق من مسارات المقبس عن طريق نصها، ثم قام بالعمل كجذر. أعطى ذلك ثلاثة طرق: اتصال بمقبس مخصص للجذر فقط،

1:16 إعادة توجيه عن بعد تحذف مقبسًا مملوكًا للجذر، وسباق حيث يحل النواة المسار مرة أخرى بعد التحقق. تقول Tailscale إن المهاجم يحتاج إلى نقطة انطلاق على جهاز موجود بالفعل في الشبكة الخلفية، مع السماح لكل من SSH وإعادة التوجيه بموجب السياسة. الإصلاح هو الإصدار 1.104.4، ويعمل التوجيه الآن كـ المستخدم المسجل للدخول. إذا لم تتمكن من التحديث اليوم، فإن النشرة توثق إعداد خدمة يقوم بتعطيل

1:42 التوجيه. القصة الثانية.

### القصة الثانية: لماذا لا يزال git على جهاز Mac يثق في eMudhra

1:44 يوم الأربعاء الماضي، تناولت مفاتيح شهادة eMudhra، وقلت إن ثقة العميل المنشور لا تزال بحاجة إلى التحقق. بعد أكثر من أسبوع من إبلاغ Apple، يقول موقع باحث يديره دينيس جاكسون إن git وcurl وpython على جهاز Mac لا تزال تقبل شهادات من تلك الوسائط. تصف صفحة دعم Apple الخاصة بها الانقسام. Safari وMail والتطبيقات على أطر عمل شبكات Apple تحظر الشهادات، وقد فعلت ذلك منذ التاسع عشر من أكتوبر.

2:08 ولكن أدوات سطر الأوامر مثل curl وgit وpython تقرأ ملف شهادة في مجلد النظام، وتتجاوز حظر Apple حتى تحديث مستقبلي. يضيف موقع الباحث أن macOS 27.2، الذي تم إصداره يوم الاثنين، لم يصلح المشكلة وألغى الحل اليدوي. تقول صفحة Apple أن التحديث يمكن أن يحل محل هذا الملف، ولم أجد تاريخًا للإصلاح. نشرة Tailscale حول هذه المفاتيح، من الحادي والعشرين من أكتوبر، تشرح أن عميلها يثق بما يثق به مخزن النظام.

2:38 إذا قمت بالبناء على جهاز Mac أو تشغيل أجهزة Mac CI، قم بتشغيل فحص الباحثين مقابل git الخاص بك، ثم اتبع خطوات Apple، التي تزيل ما يصل إلى شهادتين جذريتين من هذا الملف. تحذر Apple من أن ذلك قد يعطل بعض المواقع، وأن التحديث قد يلغي ذلك، لذلك تحقق مرة أخرى بعد كل تحديث.

### القصة الثالثة: Discord تنقل الخوادم العامة إلى بحث الويب

2:54 القصة الثالثة. يوم الثلاثاء أعلنت Discord أن المناقشات في الخوادم القابلة للاكتشاف ستصبح أسهل في العثور عليها في بحث الويب. هذه هي خوادمها الأكثر عمومية، مع ما لا يقل عن ألف عضو، وتحصي Discord أكثر من ثلاثة وستين ألفًا منها. إليك التواريخ. بدأ طرح عناصر التحكم للمسؤولين والأعضاء يوم الثلاثاء. في السادس عشر من نوفمبر، تحصل كل خادم قابل للاكتشاف على صفحة ويب عامة، ويمكن أن تبدأ ملخصات القنوات الآلية في الظهور عليها.

3:18 اعتبارًا من منتصف ديسمبر، يمكن أن تظهر الرسائل من القنوات العامة في بحث الويب أيضًا، بدون أسماء مستخدمين أو صور رمزية، إذا سمح بذلك مسؤولو الخادم. الافتراضيات مهمة. إذا لم يغير المسؤول أي شيء، فستبقى القنوات العامة قيد التشغيل. يحصل الأعضاء على مفتاح في إعدادات البيانات والخصوصية. يبدأ تشغيله في معظم الأماكن ويتم إيقافه افتراضيًا في ستة، بما في ذلك الاتحاد الأوروبي والمملكة المتحدة. يتم استبعاد حسابات المراهقين، ولا تُحتسب الرسائل التي سبقت منتصف ديسمبر.

3:48 تفصيلان يجب الانتباه إليهما. يغطي مفتاح العضو الرسائل، بينما يتم إنشاء ملخصات القنوات بشكل منفصل وتظل قيد التشغيل ما لم يقم المسؤول بإيقاف تشغيلها. والرسالة المرسلة أثناء تشغيل المفتاح تظل موجودة ما لم تحذفها. إذا كنت تدير مجتمعًا، افتح "الوجود على الويب" في إعدادات الخادم قبل نوفمبر السادس عشر. القصة الرابعة، وسألتزم بما هو موثق.

### القصة الرابعة: مؤلفون وكلود ودعوى قضائية ثانية

4:08 في السادس والعشرين من أكتوبر، تناولت ملف Anthropic، والذي يذكر تسوية بقيمة 1.5 مليار دولار مع المؤلفين. ذكرت صحيفة ستانفورد ديلي أن أساتذة من بينهم توبياس وولف اختاروا عدم المشاركة في تلك التسوية ويرفعون دعوى قضائية بشكل منفصل. وفقًا للديلي، تبلغ قيمة التسوية حوالي ثلاثة آلاف دولار لكل عمل، عبر ما يقرب من خمسمائة ألف عمل. تطلب الدعوى القضائية التي اختارت عدم المشاركة هيئة محلفين لتعويضات قانونية تصل إلى مائة وخمسين ألف دولار لكل عمل، أي خمسين ضعفًا، بالإضافة إلى أمر ضد التدريب على

4:37 كتب المدعين. الحكم الأساسي أضيق من العنوان. وجد القاضي ألسوب أن التدريب على الكتب المكتسبة بشكل قانوني كان استخدامًا عادلًا، وأن بناء مكتبة دائمة من النسخ المقرصنة لم يكن كذلك. تزعم الدعاوى الجديدة نسخًا مقرصنة، ولم أجد حكمًا بشأن مطالباتها. في سبتمبر، أثارت ملفات OpenAI LibGen نفس السؤال حول مختبر آخر. إذا قمت بتجميع بيانات التدريب، احتفظ بسجل لمصدر كل ملف. فصل الحكم الكتب المكتسبة بشكل قانوني عن النسخ المقرصنة،

5:07 لذلك فإن مصدر النسخ هو السؤال الذي ستُطرح عليك. العودة إلى الاسم. تقول Tailscale إن لا شيء في التقرير ينتشر من تلقاء نفسه. تصف المسار بأنه حركة جانبية، تقتصر على الاتصالات التي تسمح بها سياسة الشبكة الخلفية بالفعل، وفقط من جهاز يمتلكه المهاجم بالفعل. ترد صفحة الباحث بأن العيوب تم العثور عليها بجهد منخفض. يمكن أن يكون كلاهما صحيحًا، والإصلاح قد صدر على أي حال. إذا كنت تفضل قراءة هذا بدلاً من سماعي أقوله، فإن الفرق يصل إلى صندوق الوارد الخاص بك

5:31 كل صباح، مجانًا على the daily diff dot dev، الرابط أدناه. لذا فإن حكم اليوم هو NEEDS REVIEW.

### الحكم: NEEDS REVIEW

5:37 سأراجعه لأن إصلاح Tailscale قد صدر ولكن خوادمك لم يتم تحديثها بعد، وثغرة سطر أوامر Apple لا تزال مفتوحة، وإعدادات Discord الافتراضية تعمل في السادس عشر من نوفمبر، ومطالبات المؤلفين لا تزال ادعاءات. وهذا هو الفرق لليوم. أنا نيكو من Axrisi. ادمج بمسؤولية.

## المصادر

- [Tailscale SSH: Findings and fixes](https://tailscale.com/blog/tailscale-ssh-findings-fixes) — Tailscale
- [Tailscale SSH: Investigation and remediation update](https://tailscale.com/ssh-investigation-update) — Tailscale
- [Tailscale security bulletins](https://tailscale.com/security-bulletins) — Tailscale
- [Tailworm: Tailscale vulnerabilities](https://tailworm.com/) — Cyberdione Labs (Erica Windisch)
- [Apple's git still trusts the compromised eMudhra certificates](https://emudhra.we-have-a-problem.com/apple.html) — Dennis Jackson and contributors
- [About the compromised eMudhra intermediate CAs](https://support.apple.com/en-us/149555) — Apple Support
- [Making Content from Discoverable Servers Easier to Discover](https://discord.com/blog/making-content-from-discoverable-servers-easier-to-discover) — Discord
- [Anthropic illegally trained Claude with Stanford professors' books](https://stanforddaily.com/2026/10/27/professors-books-pirated-to-train-claude/) — The Stanford Daily