# تقرير جيبسن عن ParticleDB، ومفتاح USB ببصمة الإصبع من لينوفو، وHackerTube من كارباثي، وخطأ Linux TCP CVE-2026-98432: أربع قصص للمطورين في Daily Diff واحد

Published: 2026-11-02

أربع قصص للمطورين، كل واحدة منسوبة إلى مصدرها. وجد تحليل جيبسن لقاعدة بيانات ParticleDB 96 مشكلة، بما في ذلك فقدان عمليات الكتابة الملتزم بها في وضع المعاملات الافتراضي للإصدار الأخير الذي اختبره، ويوصي بوقف النشر؛ وقد تم تمويل الاختبار بواسطة Orkes، والتي تقول إن إصدارها التالي يحل كل شيء. احتوى مفتاح USB ببصمة الإصبع Lenovo ThinkPlus FU100 الذي تم بيعه مشفرًا بمعيار AES-256 على بطاقة SD عادية لم يتم تشفير أي شيء عليها، وفقًا للباحث Xusheng Li كما ذكرت Tom's Hardware. بنى Andrej Karpathy موقع HackerTube، وهو موقع يضم 6454 مقطع فيديو من YouTube موصى بها في تعليقات Hacker News، في حوالي ساعتين. وتحتاج ثغرة Linux kernel CVE-2026-98432، وهي ثغرة IPv4 TCP use-after-free التي سجلت 9.8، إلى نواة مصححة وإعادة تشغيل. الحكم هو REVERT.

Canonical: https://thedailydiff.dev/ar/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## ما يغطيه هذا الفيديو

- نشرت Jepsen، مختبر اختبار قواعد البيانات الذي يديره كايل كينجسبري، تحليلها لـ ParticleDB في 31 أكتوبر 2026. ParticleDB هي قاعدة بيانات Rust من Orkes موجهة إلى وكلاء الذكاء الاصطناعي؛ وقد قامت Orkes بتمويل العمل. اختبرت Jepsen الإصدارات 1.1.4 حتى 1.1.18.11.rc-22 على عقدة واحدة وتقدم 96 مشكلة، معظمها يحتاج إلى خادم واحد، وعميل واحد، وبدون أخطاء. أمثلة في التقرير: عبارة WHERE 4 = 5 أعادت صفوفًا بمفتاح أساسي 5، وWHERE TRUE لم تتطابق مع أي شيء، وقد يؤدي UPDATE إلى ترك صفوف متعددة بنفس المفتاح الأساسي.
- روّجت الصفحة الرئيسية لـ ParticleDB لـ 'Full ACID. 159K TPS.' ودليل TLA+، لكن Jepsen يقول إنه لم تكن هناك مواصفات TLA+ متاحة أثناء التعاون، ونص 'Full ACID' ذكر عزل اللقطة. في 1.1.18.11.rc-22، آخر إصدار اختبرته Jepsen، لا يزال وضع المعاملات الافتراضي يفقد عمليات الكتابة الملتزم بها أثناء التشغيل العادي، وسمح الوضع التسلسلي الأكثر صرامة بتحديثات مفقودة بعد إيقاف العمليات. تقول Orkes إن الإصدار 1.1.19-rc.13 يحل جميع المشكلات المتبقية؛ لم تقم Jepsen بتقييمه وتوصي المستخدمين بوقف المزيد من نشر ParticleDB والترحيل إلى قواعد بيانات أخرى.
- وجد الباحث الأمني Xusheng Li أن مفتاح USB ببصمة الإصبع Lenovo ThinkPlus FU100، الذي تم تسويقه على أنه مشفر بالأجهزة بمعيار AES-256، يحتوي على بطاقة SD عادية لم يتم تشفير البيانات عليها؛ قارئ بصمات الأصابع قام فقط بتشغيل اتصال USB. أبلغ عن ذلك في 2 أغسطس 2025، وكان أول حل من لينوفو هو طبقة من الإيبوكسي فوق بطاقة SD. صنفت لينوفو استشارتها بأنها عالية، ويتطلب حل لاحق لـ FU100 ومحركات الأقراص ذات الصلة الاتصال بخط خدمة في الصين، ثم استبدال أو ترقية البرامج الثابتة في الموقع، وفقًا لـ Tom's Hardware.
- في متابعة أوردتها Tom's Hardware، استخدم Li أداة Codex من OpenAI مع أداة الهندسة العكسية الخاصة بصاحب عمله ضد برامج حماية USB من مصنعين آخرين؛ استغرقت Netac حوالي سبع دقائق لأنها كانت تحتوي على مفتاح ثابت مدمج وكتبت كلمة المرور إلى سجلات التشخيص، وكان محرك أقراص بائع آخر يحتوي على حسابين مخفيين يسميهما Li أبوابًا خلفية. بالنسبة للبيانات على مفتاح USB، قم بتشفير الملفات باستخدام برنامج تتحكم فيه قبل أن تصل إلى الجهاز.
- في 31 أكتوبر 2026، وصف Andrej Karpathy موقع HackerTube، وهو موقع على غرار YouTube على hackertube.org تم بناؤه بواسطة وكيل الترميز الخاص به في حوالي ساعتين. قام الوكيل بتنزيل تعليقات Hacker News، وتصفية البريد العشوائي، والاحتفاظ بحوالي 40 ألفًا يوصون بمقطع فيديو على YouTube، مما أسفر عن 6454 مقطع فيديو من 2007 إلى 2026 عبر 150 موضوعًا. يعرض الموقع الإطار عند علامة 50 بالمائة بدلاً من الصورة المصغرة التي تم تحميلها. يسرد كارباثي خطواته اليدوية كمفتاح Google Cloud API، وخادم، ومجال.
- CVE-2026-98432 هو خطأ "use-after-free" في بروتوكول المصافحة لـ IPv4 TCP في نواة Linux، وتم تسجيل CVSS 9.8، ويمكن الوصول إليه بواسطة نظير بعيد بدون تسجيل الدخول. استبدل إصلاح Eric Dumazet مكالمتي kfree العاديتين بـ kfree\_rcu في التزام بتاريخ 1 أكتوبر؛ تم شحن النوى المستقرة مع الإصلاح في 11 و 15 أكتوبر، ويعود الخطأ إلى Linux 4.4. رفعت Red Hat تصنيفها من "مهم" إلى "حرج" في 30 أكتوبر. لم تدرج Ubuntu و Red Hat Enterprise Linux أي نواة ثابتة مساء السبت، 31 أكتوبر. قم بتثبيت النواة الثابتة لتوزيعك وأعد التشغيل، بما في ذلك مضيفي الحاويات، لأن الحاويات تشترك في نواة المضيف.
- تقول Anthropic إن Claude كتب استغلالًا فعالًا لخوادم Linux التي تحتوي على مستمع TCP متعدد المسارات، وأن في دليل مفهومها يستغرق 48 دقيقة لتسريب مؤشر نواة وخمس دقائق إضافية لتشغيل أمر shell؛ لم يتم نشر الاستغلال. يلاحظ فريق أمان Go أن برامج Go تمكن مستمعي TCP متعددة المسارات افتراضيًا منذ Go 1.24 ويحذر من أن الأنظمة التي لا تحتوي على هذا المستمع قد تكون عرضة لهجمات مماثلة. تنشر Red Hat و AlmaLinux قاعدة جدار حماية تسقط حزم IPv4 TCP مع خيارات IP، والتي تقول Red Hat إنها تقلل من التعرض ولا تمنع الاستغلال بالكامل.

## أسئلة وأجوبة

### ماذا وجدت جيبسن في قاعدة بيانات ParticleDB، وماذا توصي؟

يكشف تحليل جيبسن لـ ParticleDB، المنشور في 31 أكتوبر 2026 والممول من Orkes، عن 96 مشكلة في الإصدارات 1.1.4 حتى 1.1.18.11.rc-22، بما في ذلك WHERE 4 = 5 التي تُرجع صفوفًا. في الإصدار الأخير الذي تم اختباره، لا يزال وضع المعاملات الافتراضي يفقد عمليات الكتابة الملتزم بها أثناء التشغيل العادي. توصي جيبسن المستخدمين بوقف المزيد من نشر ParticleDB والترحيل إلى قواعد بيانات أخرى.

### هل كان مفتاح USB ببصمة الإصبع Lenovo ThinkPlus FU100 مشفرًا فعلاً بمعيار AES-256؟

وفقًا للباحث Xusheng Li، كما ذكرت Tom's Hardware و HackingPassion، تم تسويق FU100 على أنه مشفر بالأجهزة بمعيار AES-256 ولكنه احتوى على بطاقة SD عادية لم يتم تشفير أي شيء عليها. قارئ بصمات الأصابع قام فقط بتمكين اتصال USB. كان أول إصلاح من Lenovo هو الإيبوكسي فوق البطاقة، ويتطلب إصلاح لاحق الاتصال بخط خدمة في الصين للحصول على بديل أو ترقية للبرامج الثابتة في الموقع.

### ما هو HackerTube وكيف بناه Andrej Karpathy؟

HackerTube على hackertube.org هو موقع على غرار YouTube يضم 6454 مقطع فيديو موصى بها في تعليقات Hacker News من 2007 إلى 2026، عبر 150 موضوعًا. يقول منشور كارباثي إن وكيله البرمجي قام بتنزيل التعليقات، وقام بتصفية البريد العشوائي، واحتفظ بحوالي 40 ألفًا يوصون بمقطع فيديو، وأن البناء يستغرق حوالي ساعتين. كانت خطواته اليدوية هي مفتاح Google Cloud API، وخادم، ونطاق.

### كيف أصلح ثغرة Linux kernel CVE-2026-98432، وما هي التوزيعات التي تحتوي على نواة مصححة؟

قم بتثبيت النواة الثابتة لتوزيعك وأعد التشغيل، بما في ذلك مضيفي الحاويات وعقد Kubernetes، حيث تشترك الحاويات في نواة المضيف. الثغرة هي IPv4 TCP use-after-free سجلت CVSS 9.8، وتم إصلاحها في النوى المستقرة في 11 و 15 أكتوبر. وفقًا لـ Atlas في 31 أكتوبر، كان لدى Debian و SUSE و Amazon Linux إصلاحات، بينما لم يكن لدى Ubuntu و Red Hat Enterprise Linux؛ تنشر Red Hat تخفيفًا لجدار الحماية يقلل من التعرض.

### ماذا كان حكم The Daily Diff على هذه القصص الأربع؟

كان حكم The Daily Diff هو REVERT. نصيحة جيبسن بشأن ParticleDB هي وقف المزيد من النشر والترحيل، وخطأ نواة Linux CVE-2026-98432 يحتاج إلى نواة مصححة وإعادة تشغيل، مع دليل مفهوم Anthropic الخاص الذي يستغرق 48 دقيقة لتسريب مؤشر نواة وخمس دقائق أخرى لتشغيل أمر shell.

## الفصول

- 0:00 فتح بارد: كيف تقول عبارة "where" أن أربعة تساوي خمسة؟
- 0:44 القصة الأولى: ماذا وجدت جيبسن في ParticleDB؟
- 2:17 القصة الثانية: ماذا كان داخل مفتاح USB ببصمة لينوفو؟
- 3:31 القصة الثالثة: ماذا بنى كارباثي في صباح واحد؟
- 4:22 القصة الرابعة: ماذا تصلح لـ CVE-2026-98432؟
- 5:43 بالعودة إلى ساعة الإيقاف: كم استغرق الاستغلال؟
- 6:02 الحكم: REVERT

## النص المترجم

مترجم من السرد الإنجليزي الأصلي. يتم التحكم في الصوت والتعليقات التوضيحية المتاحة بواسطة YouTube.

### فتح بارد: كيف تقول عبارة "where" أن أربعة تساوي خمسة؟

0:00 قاعدة البيانات التي تعلن عن Full ACID من المفترض أن تحتفظ بما تكتبه. اختبرت جيبسن واحدة ووجدت ستة وتسعين مشكلة، بما في ذلك شرط "where" قال أربعة يساوي خمسة وما زالت تعيد صفوفًا. في هذا الفيديو، أربع قصص. ماذا وجدت جيبسن في قاعدة بيانات تدعي Full ACID؟ ماذا كان داخل مفتاح USB ببصمة الإصبع تم بيعه على أنه مشفر؟ ماذا بنى أندريه كارباثي في صباح واحد؟ وماذا تصلح لخطأ شبكة لينكس؟

0:26 أحد تلك الأخطاء يأتي مع ساعة إيقاف. سأقرأه لك في النهاية. إنه الأحد، الأول من نوفمبر، وهذا هو Daily Diff. جيبسن هو مختبر اختبار كايل كينجسبري. يقوم بتشغيل قاعدة بيانات من خلال أعباء عمل حقيقية وأعطال ويتحقق مما إذا كانت الضمانات على الموقع صالحة. فكر في مفتش يفتح الثلاجة بالفعل.

### القصة الأولى: ماذا وجدت جيبسن في ParticleDB؟

0:44 القصة الأولى. يوم السبت نشرت جيبسن تقريرها عن ParticleDB، قاعدة بيانات Rust من Orkes موجهة لوكلاء الذكاء الاصطناعي. دفعت Orkes تكاليف العمل. قالت الصفحة الرئيسية Full ACID، مائة وتسعة وخمسون ألف معاملة في الثانية. اختبرت جيبسن ParticleDB من أول بناء 1.1 لها إلى إصدار مرشح متأخر. وصف الموقع ذلك بأنه مثبت رسميًا، مع إثبات TLA+. تقول جيبسن إنه لم تكن هناك مواصفات TLA+ متاحة أثناء العمل.

1:10 تحت سطر Full ACID، قالت نفس الصفحة عزل اللقطة، وهو ليس معزولًا بالكامل. لم تكن الأخطاء خفية. معظمها احتاج إلى خادم واحد، وعميل واحد، ولم يتم حقن أي أخطاء. شرط WHERE الذي قال أربعة يساوي خمسة أعاد صفوفًا. شرط WHERE الذي قال "صحيح" لم يتطابق مع أي شيء. تركت التحديثات صفين بنفس المفتاح الأساسي. الإصدار الأخير الذي اختبرته جيبسن، الإصدار المرشح الثاني والعشرون،

1:36 كان أكثر أمانًا بكثير. ومع ذلك، فقد وضع المعاملات الافتراضي عمليات الكتابة الملتزم بها أثناء التشغيل العادي. ولا يزال الوضع الأكثر صرامة يسمح بتحديثات مفقودة بعد إيقاف العملية. تقول Orkes إن إصدارها التالي يصلح كل هذا. لم تختبره جيبسن. لذا في هذا الإصدار الأخير، قاعدة بيانات وعدت بـ Full ACID يمكن أن تفقد عملية كتابة التزمت بها بالفعل. السرعة، أفترض، كانت ممتازة.

2:00 نصيحة جيبسن واضحة. وقف المزيد من نشر ParticleDB والترحيل إلى قاعدة بيانات أخرى في أقرب وقت ممكن. تلقي Orkes باللوم على إعادة هيكلة الربيع وتقول إن عملائها، على إصدار أقدم، لم يتأثروا على الأرجح. وثائق الإجراءات المخزنة اخترعت حتى عنوان بريد إلكتروني لكايل كينجسبري. القصة الثانية. Lenovo ThinkPlus FU100 هو مفتاح USB ببصمة الإصبع

### القصة الثانية: ماذا كان داخل مفتاح USB ببصمة لينوفو؟

2:21 يتم تسويقه على أنه مشفر بالأجهزة بمعيار AES-256. قام الباحث الأمني Xusheng Li بتفكيك واحد ووجد بطاقة SD عادية، لم يتم تشفير أي شيء عليها. قرأ قارئ بصمة الإصبع شيئًا واحدًا فقط، وهو ما إذا كان المفتاح متصلًا بالكمبيوتر. الملفات على البطاقة لم تعتمد عليه أبدًا. أبلغ لي عن الثغرة لشركة لينوفو في أغسطس 2025. كان أول إصلاح هو طبقة من الإيبوكسي فوق بطاقة SD. لذلك لم يتم تشفير الملفات أبدًا.

2:47 انتظر، هل هي مجرد بطاقة SD؟ لطالما كانت كذلك. صنفت لينوفو استشارتها الخاصة بأنها عالية. الإصلاح اللاحق، لـ FU100 وثلاثة محركات أقراص ذات صلة، يعني الاتصال بخط خدمة في الصين، ثم إما إرسال محرك الأقراص مرة أخرى أو الحصول على ترقية للبرامج الثابتة في الموقع. تنصح لينوفو بمسح محرك الأقراص أولاً. في الأسبوع الماضي، وجه لي أداة Codex من OpenAI، بالإضافة إلى أداة الهندسة العكسية الخاصة بصاحب عمله،

3:09 إلى برامج حماية USB الخاصة بالشركات المصنعة الأخرى. استغرق برنامج Netac حوالي سبع دقائق، لأنه كان يحتوي على مفتاح ثابت مدمج وكتب كلمة المرور إلى سجلات التشخيص. كان أحد محركات الأقراص يحتوي على حسابين مخفيين يسميهما لي أبوابًا خلفية. إذا كان أمان محرك الأقراص هو الأجهزة، فتحقق منه بنفسك. شفر الملفات ببرنامج تتحكم فيه قبل أن تصل إلى المفتاح، وتعامل مع بصمة الإصبع كوسيلة راحة.

### القصة الثالثة: ماذا بنى كارباثي في صباح واحد؟

3:31 القصة الثالثة، الخفيفة. في ليلة الجمعة، فتح أندريه كارباثي يوتيوب، ورأى ما أسماه جدارًا من الفوضى، وفي صباح السبت طلب من وكيله البرمجي أن يبني بديلًا مما توصي به Hacker News. قام الوكيل بتنزيل تعليقات Hacker News، وقام بتصفية البريد العشوائي، واحتفظ بحوالي أربعين ألفًا يوصون بمقطع فيديو على يوتيوب. ذلك ترك ستة آلاف وأربعمائة وأربعة وخمسين مقطع فيديو، من عام ألفين وسبعة حتى الآن، في مائة وخمسين موضوعًا.

3:58 الموقع هو hackertube.org. يعرض الإطار من علامة المنتصف بدلاً من الصورة المصغرة التي اختارها المحمل، وهو ما يؤلم قليلًا. يقول كارباثي إن البناء بأكمله استغرق حوالي ساعتين. كانت خطواته اليدوية الوحيدة هي مفتاح Google API، وخادم، ونطاق. في الثاني عشر من أكتوبر، أخبرتك أن كارباثي يعتقد أن الوصول والمهام تخلق فجوة في كيف يفهم الناس هذه الأدوات. ساعتان من العمل هي نقطة بيانات جيدة.

4:21 القصة الرابعة، التي يجب العمل عليها.

### القصة الرابعة: ماذا تصلح لـ CVE-2026-98432؟

4:23 CVE-2026-98432 هو خطأ "use-after-free" في بروتوكول المصافحة لـ IPv4 TCP في نواة Linux، وسجل 9.8 من عشرة. يمكن لنظير بعيد بدون تسجيل دخول الوصول إليه. كتب إريك دومازيت الإصلاح في الأول من أكتوبر. وصل الإصلاح إلى النوى المستقرة في الحادي عشر والخامس عشر من أكتوبر، ويعود الخطأ إلى Linux 4.4. رفعت Red Hat تصنيفها من "مهم" إلى "حرج" في الثلاثين من أكتوبر. مساء السبت، لم تدرج Ubuntu و Red Hat Enterprise Linux أي نواة

4:52 ثابتة حتى الآن. تقول Anthropic إن Claude كتب استغلالًا فعالًا للخوادم التي تحتوي على مستمع TCP متعدد المسارات، وقد فتحت برامج Go هذه افتراضيًا منذ Go 1.24. يحذر فريق Go من أن الأنظمة التي لا تحتوي على هذا المستمع قد تكون عرضة لهجمات مماثلة، ويقول إن أفضل إصلاح هو نواة مصححة. إذا لم يكن لدى توزيعك نواة ثابتة بعد، فنشر Red Hat و AlmaLinux قاعدة جدار حماية تسقط حزم IPv4 TCP التي تحمل خيارات IP. تقول Red Hat إنها تقلل من التعرض ولا يمكنها منعه بالكامل. بعد ذلك، تنتظر.

5:23 ماذا تفعل اليوم. قم بتثبيت النواة الثابتة لتوزيعك وأعد التشغيل، على مضيفي الحاويات وعقد Kubernetes أيضًا، لأن الحاويات تشترك في نواة المضيف. لدى Debian و Suse و Amazon Linux بالفعل إصلاحات. إذا لم تتمكن من التصحيح بعد، فابدأ بالمضيفين الذين يقومون بتشغيل مستمعي TCP متعددة المسارات. الآن ساعة الإيقاف التي وعدت بها. في دليل مفهوم Anthropic الخاص، يستغرق الأمر ثمانية وأربعين دقيقة لتسريب مؤشر نواة،

### بالعودة إلى ساعة الإيقاف: كم استغرق الاستغلال؟

5:44 ثم خمس دقائق أخرى لتشغيل أمر shell. لم تنشر Anthropic الاستغلال. إذا كنت تفضل قراءة هذا بدلاً من سماعي أقوله، فإن الفرق يصل إلى بريدك الوارد كل صباح، مجانًا على the daily diff.dev، الرابط أدناه. لذا فإن حكم اليوم هو REVERT.

### الحكم: REVERT

6:02 سأقوم بإرجاع ParticleDB، لأن نصيحة Jepsen هي وقف النشر، وسأقوم بتصحيح تلك النواة، لأنها تأتي مع ساعة إيقاف. وهذا هو الفرق لليوم. أنا نيكو من Axrisi. ادمج بمسؤولية. Merge responsibly.

## المصادر

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas