התיקונים של טיילסקייל ל-Tailworm, גיט מק ואישורי eMudhra, שינוי חיפוש האינטרנט של דיסקורד ותביעות המחברים נגד Anthropic: ארבעה סיפורי מפתחים ב-Daily Diff אחד

מה מכסה הסרטון הזה

• טיילסקייל (פוסט בבלוג, 28 באוקטובר 2026) אומרת שהיא קיבלה את דוח Tailworm, שפורסם על ידי החוקרת אריקה ווינדיש ממעבדות Cyberdione, בבוקר שבת, 24 באוקטובר, ושהחוקרת פרסמה אותו שעתיים לאחר מכן. הגרסאות שנבדקו היו Tailscale 1.104.2 ו-headscale 0.29.5. התיקונים של טיילסקייל נמצאים בגרסה 1.104.4, עם ארבעה עלוני אבטחה ממוספרים TS-2026-014 עד TS-2026-017.
• עלון Tailscale בנושא העברת שקעי Unix של SSH אומר ששרת ה-SSH בתהליך ה-tailscaled עם הרשאות root אימת נתיבי שקע באופן לקסיקלי אך ביצע את הפעולות כ-root, מה שאפשר חיוגים מורשים באמצעות העברה מקומית, מחיקת שקעים בבעלות root באמצעות העברה מרוחקת, ומרוץ שבו הקרנל פותר מחדש את הנתיב לאחר הבדיקה. יעדים ברי-השגה כללו את שקע Docker ואת ה-API המקומי של tailscaled. Tailscale מעבירה כעת שקעים כמשתמש המאומת. עד לעדכון, הגדרת משתנה הסביבה TS_SSH_DISABLE_FORWARDING ל-1 משביתה את ההעברה מבלי להשבית את Tailscale SSH.
• טיילסקייל אומרת שניצול דורש נקודת אחיזה קיימת במכשיר מורשה ב-tailnet, עם גישת SSH והעברה המותרות על פי מדיניות, ושהנתיב הוא תנועה לרוחב מוגבלת לחיבורים שהמדיניות מאפשרת, ואינו מתאר תולעת המשכפלת את עצמה. דף החוקרת אומר שהליקויים נמצאו במאמץ נמוך.
• אתר חוקר המנוהל על ידי דניס ג'קסון עם תורמי קהילה אומר שאפל קיבלה הודעה על תקרית אישורי הביניים של eMudhra ב-17 באוקטובר, ושנכון ל-28 באוקטובר, git, curl ו-python3 המגיעים עם macOS עדיין מקבלים את האישורים הפגומים; הוא גם אומר ש-macOS 27.2, ששוחרר ב-26 באוקטובר, לא תיקן את הבעיה ובטל פתרונות עוקפים ידניים. דף התמיכה של אפל מאשר את הפיצול: מאז 19 באוקטובר, Safari, Mail ואפליקציות על גבי פריימוורקים של אפל חוסמים את האישורים, בעוד שכלים כמו curl, git, python3, ruby, perl ו-openssl הבודקים את /etc/ssl/cert.pem עדיין יכולים לקבל אותם עד לעדכון עתידי. דף אפל מציג צעדים ידניים אופציונליים ומזהיר שעדכון יכול להחליף את הקובץ.
• פוסט הבלוג של דיסקורד (27 באוקטובר 2026) אומר שלכל השרתים הניתנים לגילוי (Discoverable Servers), הדורשים לפחות 1,000 חברים ומספרם עולה על 63,000, יהיה דף אינטרנט ציבורי לשרת החל מ-16 בנובמבר 2026, עם סיכומי ערוצים אוטומטיים שיוכלו להתחיל באותו יום. מאמצע דצמבר 2026, הודעות מערוצים ציבוריים המותרים על ידי מנהלים יוכלו להופיע בדפי אינטרנט של שרתים ובחיפוש באינטרנט ללא שמות משתמשים או אווטרים. אם מנהלים לא ישנו דבר, הערוצים הציבוריים יישארו פתוחים. בקרות מנהלים (הגדרות שרת, נוכחות אינטרנט) והגדרות חברים (הגדרות משתמש, נתונים ופרטיות) זמינים כעת; הגדרת החברים כבויה כברירת מחדל באיחוד האירופי, בריטניה, קנדה, ברזיל, אוסטרליה ודרום קוריאה, וחשבונות נוער אינם כלולים.
• ה-Stanford Daily (27 באוקטובר 2026) מדווח כי פרופסורים, כולל טוביאס וולף, בחרו לא להצטרף להסדר בארץ נגד Anthropic בסך 1.5 מיליארד דולר, המכסה קרוב ל-500,000 יצירות רשומות בכ-3,000 דולר ליצירה, ותובעים את Anthropic בנפרד, בבקשה למשפט חבר המושבעים, פיצויים סטטוטוריים של עד 150,000 דולר ליצירה וצו מניעה נגד אימון על ספריהם. המאמר מסכם את פסיקתו הקודמת של השופט וויליאם אלסאפ כי אימון על ספרים שנרכשו כחוק הוא שימוש הוגן ובניית ספרייה קבועה מעותקים פיראטיים אינו כזה. התביעות החדשות הן טענות; לא נמצאה פסיקה לגבי טענותיהם.

תמליל מתורגם

תורגם מהקריינות המקורית באנגלית. זמינות אודיו וכתוביות נשלטת על ידי YouTube.

פתיחה קרה: סשן SSH של Tailscale ושקעי ה-root בלבד

0:00 התחברות SSH של Tailscale משאירה אותך בתוך חשבון המשתמש שלך. דו"ח שפורסם ביום שבת מתאר סשנים שהגיעו לשקעים שרק root צריך לגעת בהם, ו-Tailscale שלחה תיקונים השבוע. בסרטון זה, ארבעה סיפורים. למה סשן SSH של Tailscale יכול היה להגיע? מדוע גיט במחשב מק עדיין בוטח באישורים שבוטלו? מה ישתנה עבור שרתי דיסקורד ציבוריים בשישה עשר בנובמבר? ומה טוענים מחברים בתביעותיהם נגד Anthropic?

0:27 יש גם סיבה למה טיילסקייל דוחה את שם הדו"ח הזה. אשמור את זה לסוף. יום רביעי, עשרים ושמונה באוקטובר, וזהו The Daily Diff. טיילסקייל מקשרת את המכונות שלך לרשת פרטית אחת, ו-Tailscale SSH הוא שרת ה-SSH המובנה שלה, שבודק את ה-Tailscale שלך זהות במקום קובץ מפתח. הוא רץ בתוך תהליך עם הרשאות root. תחשוב על שוער שמחזיק גם את מפתח המאסטר.

סיפור ראשון: למה סשן SSH של Tailscale יכול היה להגיע

0:50 סיפור ראשון. חוקרת האבטחה אריקה ווינדיש בדקה את Tailscale 1.10 4.2 במשך שלושה ימים ופרסמה דו"ח בשם Tailworm. טיילסקייל אומרת שהדו"ח הגיע אליה בבוקר שבת, והחוקרת פרסמה שעתיים לאחר מכן. הממצא העיקרי הוא העברת שקעים. העלון של Tailscale עצמו אומר ששרת ה-SSH שלה פועל כ-root, בדק נתיבי שקע לפי הטקסט שלהם, ואז ביצע את העבודה כ-root. זה נתן שלושה נתיבים: חיבור לשקע root בלבד,

1:16 העברה מרחוק שמוחקת שקע בבעלות root, ומרוץ שבו הקרנל פותר שוב את הנתיב לאחר הבדיקה. טיילסקייל אומרת שתוקף זקוק לנקודת אחיזה על מכשיר שכבר נמצא ב-tailnet, כאשר SSH והעברה שניהם מותרים על פי מדיניות. התיקון הוא גרסה 1.104.4, והעברה פועלת כעת כ המשתמש המחובר. אם אינך יכול לעדכן היום, העלון מתעד הגדרת שירות המפעילה

1:42 העברה כבויה. סיפור שני.

סיפור שני: מדוע git במחשב מק עדיין בוטח ב-eMudhra

1:44 ביום רביעי שעבר סיקרתי את מפתחות האישורים של eMudhra, ואמרתי שאמינות הלקוח הפרוס עדיין דורשת בדיקה. יותר משבוע לאחר שאפל קיבלה הודעה, אתר חוקר המנוהל על ידי דניס ג'קסון אומר ש-git, curl ו-python במחשב מק עדיין מקבלים אישורים מאותם מתווכים. דף התמיכה של אפל עצמו מתאר את הפיצול. Safari, Mail ואפליקציות על מסגרות הרשת של אפל חוסמות את האישורים, ומאז תשעה עשר באוקטובר.

2:08 אבל כלי שורת פקודה כגון curl, git ו-python קוראים קובץ אישורים ב תיקיית המערכת, והם מדלגים על חסימת אפל עד לעדכון עתידי. אתר החוקר מוסיף ש-macOS 27.2, שפורסם ביום שני, לא תיקן זאת וביטל את הפתרון הידני. הדף של אפל אכן אומר שעדכון יכול להחליף את הקובץ הזה, ולא מצאתי תאריך לתיקון. העלון של Tailscale על מפתחות אלה, מ-21 באוקטובר, מסביר שהלקוח שלה בוטח במה שחנות המערכת בוטחת בו.

2:38 אם אתה בונה על מק או מפעיל מחשבי CI של מק, הפעל את הבדיקה של החוקרים נגד ה-git שלך, ואז בצע את השלבים של אפל, המסירים עד שני שורשים אישורים מקובץ זה. אפל מזהירה שזה יכול לשבור כמה אתרים, ועדכון יכול לבטל זאת, אז בדוק שוב לאחר כל עדכון.

סיפור שלישי: דיסקורד מעבירה שרתים ציבוריים לחיפוש באינטרנט

2:54 סיפור שלישי. ביום שלישי הודיעה דיסקורד כי דיונים ב-Discoverable שרתים יהפכו לקלים יותר למציאה בחיפוש באינטרנט. אלו הם השרתים הציבוריים ביותר שלה, עם לפחות אלף חברים, ודיסקורד סופרת יותר משישים ושלושה אלף מהם. הנה התאריכים. בקרות מנהלים וחברים החלו להתגלגל ביום שלישי. בשישה עשר בנובמבר כל שרת גילוי מקבל דף אינטרנט ציבורי, וסיכומי ערוצים אוטומטיים יכולים להתחיל להופיע עליו.

3:18 מאמצע דצמבר, הודעות מערוצים ציבוריים יכולות להופיע גם בחיפוש באינטרנט, ללא שמות משתמשים או אווטרים, אם מנהלי השרת מאפשרים זאת. ברירות המחדל חשובות. אם מנהל לא משנה דבר, ערוצים ציבוריים נשארים פתוחים. חברים מקבלים מתג בהגדרות נתונים ופרטיות. הוא מופעל ברוב המקומות וכבוי כברירת מחדל בשישה, כולל האיחוד האירופי ובריטניה. חשבונות נוער אינם כלולים, והודעות מלפני אמצע דצמבר אינן נספרות.

3:48 שני פרטים שכדאי לשים לב אליהם. מתג החברים מכסה הודעות, בעוד שסיכומי ערוצים נוצרים בנפרד ונשארים פועלים אלא אם מנהל מכבה אותם. והודעה שנשלחה כשהמתג היה פועל נשארת פעילה אלא אם תמחק אותה. אם אתה מנהל קהילה, פתח את 'נוכחות אינטרנט' בהגדרות השרת לפני נובמבר שישה עשר. סיפור רביעי, ואצמד למה שמתועד.

סיפור רביעי: מחברים, קלוד ותביעה שנייה

4:08 בשישה עשר באוקטובר סיקרתי את הגשת התביעה של Anthropic, שמפרטת הסדר בסך 1.5 מיליארד דולר עם מחברים. ה-Stanford Daily מדווח כי פרופסורים, כולל טוביאס וולף, בחרו שלא להצטרף להסדר זה ותובעים בנפרד. על פי ה-Daily, ההסדר מסתכם בכשלושת אלפים דולר ליצירה, על פני כמעט חמש מאות אלף יצירות. התביעה היוצאת מבקשת מחבר מושבעים פיצויים סטטוטוריים של עד מאה וחמישים אלף דולר ליצירה, פי חמישים יותר, בתוספת צו נגד אימון על

4:37 ספרי התובעים. הפסיקה הבסיסית צרה יותר מהכותרת. השופט אלסאפ מצא כי אימון על ספרים שנרכשו כחוק היה שימוש הוגן, וכי בניית ספרייה קבועה מעותקים פיראטיים לא הייתה כזו. התביעות החדשות טוענות לעותקים פיראטיים, ולא מצאתי פסיקה לגבי טענותיהם. בספטמבר, קבצי ה-OpenAI LibGen העלו את אותה שאלה לגבי מעבדה אחרת. אם אתה מרכיב נתוני אימון, שמור תיעוד מאיפה הגיע כל קובץ. הפסיקה הפרידה בין ספרים שנרכשו כחוק לעותקים פיראטיים,

5:07 אז מקור העותקים היא השאלה שתישאל. חוזרים לשם. טיילסקייל אומרת ששום דבר בדו"ח לא מתפשט מעצמו. היא מכנה את הנתיב תנועה לרוחב, מוגבלת לחיבורים שמדיניות ה-tailnet כבר מאפשרת, ורק ממכשיר שהתוקף כבר מחזיק בו. דף החוקר משיב שהליקויים נמצאו במאמץ נמוך. שניהם יכולים להיות נכונים, והתיקון יצא בכל מקרה. אם אתה מעדיף לקרוא את זה מאשר לשמוע אותי אומר את זה, הדיף נוחת בתיבת הדואר הנכנס שלך

5:31 בכל בוקר, בחינם ב-thedailydiff.dev, קישור למטה. אז הפסיקה של היום היא NEEDS REVIEW.

פסק דין: NEEDS REVIEW

5:37 הייתי בודק את זה מכיוון שהתיקון של Tailscale יצא אבל השרתים שלך עדיין לא עודכנו עדיין, פער שורת הפקודה של אפל עדיין פתוח, ברירות המחדל של דיסקורד מופעלות ב- שישה עשר בנובמבר, וטענות המחברים הן עדיין טענות. וזה הדיף להיום. אני ניקו מ-Axrisi. מזג באחריות.

מקורות

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily