ParticleDB'nin Jepsen raporu, Lenovo'nun parmak izi USB belleği, Karpathy'nin HackerTube'u ve Linux TCP hatası CVE-2026-98432: tek bir Daily Diff'te dört geliştirici hikayesi

Bu video neleri kapsar

• Kyle Kingsbury tarafından yönetilen veritabanı test laboratuvarı Jepsen, ParticleDB analizini 31 Ekim 2026'da yayınladı. ParticleDB, Orkes'ten AI ajanlarına yönelik bir Rust veritabanıdır; Orkes çalışmayı finanse etti. Jepsen, 1.1.4'ten 1.1.18.11.rc-22'ye kadar olan sürümleri tek bir düğümde test etti ve çoğu için bir sunucu, bir istemci ve hatasız çalışan 96 sorun sundu. Rapordaki örnekler: WHERE 4 = 5 maddesi birincil anahtarı 5 olan satırları döndürdü, WHERE TRUE hiçbir şeyle eşleşmedi ve bir UPDATE birden fazla satırı aynı birincil anahtarla bırakabildi.
• ParticleDB ana sayfası 'Tam ACID. 159K TPS.' ve bir TLA+ kanıtı reklamı yaptı, ancak Jepsen, işbirliği sırasında TLA+ spesifikasyonunun mevcut olmadığını ve 'Tam ACID' altındaki metnin anlık görüntü yalıtımı olduğunu söylüyor. Jepsen'in test ettiği son sürüm olan 1.1.18.11.rc-22'de, varsayılan occ işlem modu normal çalışma sırasında kaydedilmiş yazılımları kaybetmeye devam etti ve en katı sıralanabilir mod, işlem öldürmelerinden sonra Kayıp Güncellemeye izin verdi. Orkes, 1.1.19-rc.13 sürümünün kalan tüm sorunları çözdüğünü söylüyor; Jepsen bunu değerlendirmedi ve kullanıcıların ParticleDB'nin daha fazla dağıtımını durdurmasını ve diğer veritabanlarına geçmesini öneriyor.
• Güvenlik araştırmacısı Xusheng Li, AES-256 ile donanımsal olarak şifrelenmiş olarak pazarlanan Lenovo ThinkPlus FU100 parmak izi USB belleğin, verileri şifrelenmemiş sıradan bir SD kart içerdiğini buldu; parmak izi okuyucu yalnızca USB bağlantısını açtı. Bunu 2 Ağustos 2025'te bildirdi ve Lenovo'nun ilk çözümü SD kartın üzerine bir epoksi katmanıydı. Lenovo, uyarısını yüksek olarak derecelendirdi ve Tom's Hardware'a göre FU100 ve ilgili sürücüler için daha sonraki bir düzeltme, Çin'de bir servis hattını aramayı, ardından bir yedek veya yerinde firmware yükseltmesi gerektiriyor.
• Tom's Hardware tarafından bildirilen bir takipte, Li, OpenAI'nin Codex'ini, işvereninin tersine mühendislik aracıyla diğer üreticilerin USB koruma yazılımlarına karşı kullandı; Netac'ınki yaklaşık yedi dakika sürdü çünkü içinde sabit bir anahtar vardı ve şifreyi teşhis günlüklerine yazıyordu ve başka bir satıcının sürücüsünde Li'nin arka kapı dediği iki gizli hesap vardı. Bir USB belleğindeki veriler için, aygıta ulaşmadan önce dosyaları kontrol ettiğiniz yazılımla şifreleyin.
• 31 Ekim 2026'da Andrej Karpathy, yaklaşık iki saatte kendi kodlama ajanıyla hackertube.org adresinde oluşturulan YouTube tarzı bir site olan HackerTube'u anlattı. Ajan, Hacker News yorumlarını indirdi, spam'i filtreledi ve bir YouTube videosu öneren yaklaşık 40.000'ini tuttu, bu da 2007'den 2026'ya kadar 150 konuda 6.454 video sağladı. Site, yüklenen küçük resim yerine yüzde 50 işaretindeki kareyi gösterir. Karpathy, manuel adımlarını bir Google Cloud API anahtarı, bir sunucu ve bir alan adı olarak listeliyor.
• CVE-2026-98432, Linux çekirdeğinin IPv4 TCP el sıkışmasındaki bir use-after-free hatasıdır, CVSS 9.8 puan almıştır ve uzaktaki bir eş tarafından oturum açmadan erişilebilir. Eric Dumazet'in düzeltmesi, 1 Ekim tarihli bir taahhütte iki düz kfree çağrısını kfree_rcu ile değiştirdi; düzeltmeli kararlı çekirdekler 11 ve 15 Ekim'de piyasaya sürüldü ve hata Linux 4.4'e kadar uzanıyor. Red Hat, 30 Ekim'de derecelendirmesini Önemli'den Kritik'e yükseltti. Ubuntu ve Red Hat Enterprise Linux, 31 Ekim Cumartesi akşamı sabit bir çekirdek listelemedi. Dağıtımınızın sabit çekirdeğini yükleyin ve kapsayıcı ana bilgisayarları da dahil olmak üzere yeniden başlatın, çünkü kapsayıcılar ana bilgisayar çekirdeğini paylaşır.
• Anthropic, Claude'un çok yollu TCP dinleyicisi olan Linux sunucuları için çalışan bir istismar yazdığını ve kavram kanıtında bir çekirdek işaretçisini sızdırmanın 48 dakika sürdüğünü ve bir kabuk komutunu çalıştırmanın beş dakika daha sürdüğünü söylüyor; istismar yayınlanmadı. Go Güvenlik Ekibi, Go programlarının Go 1.24'ten beri çok yollu TCP dinleyicilerini varsayılan olarak etkinleştirdiğini ve bu dinleyiciye sahip olmayan sistemlerin benzer saldırılara karşı savunmasız olabileceği konusunda uyarıyor. Red Hat ve AlmaLinux, Red Hat'in maruz kalmayı azalttığını ve istismarı tamamen önleyemediğini söylediği, IP seçenekleriyle IPv4 TCP paketlerini bırakan bir güvenlik duvarı kuralı yayınladı.

Çevrilmiş deşifre

Orijinal İngilizce anlatımdan çevrilmiştir. Mevcut ses ve altyazılar YouTube tarafından kontrol edilir.

Soğuk açılış: bir where maddesi dört eşittir beşi nasıl söyler?

0:00 Tam ACID reklamı yapan bir veritabanı, yazdıklarınızı saklamalıdır. Jepsen birini test etti ve doksan altı sorun buldu, buna bir where maddesi de dahil dört eşittir beş dedi ve yine de satır döndürdü. Bu videoda dört hikaye var. Jepsen, Tam ACID olduğunu iddia eden bir veritabanında ne buldu? Şifreli olarak satılan bir parmak izi USB belleğinin içinde ne vardı? Andrej Karpathy bir sabah ne yaptı? Ve bir Linux ağ hatası için ne yamalayacaksınız?

0:26 Bu hatalardan biri bir kronometre ile geliyor. Size sonunda okuyacağım. Bugün 1 Kasım Pazar ve bu The Daily Diff. Jepsen, Kyle Kingsbury'nin test laboratuvarıdır. Bir veritabanını gerçek iş yükleri ve hatalar aracılığıyla çalıştırır ve web sitesindeki garantilerin geçerli olup olmadığını kontrol eder. Buzdolabını gerçekten açan bir müfettişi düşünün.

Birinci hikaye: Jepsen ParticleDB'de ne buldu?

0:44 Birinci hikaye. Cumartesi günü Jepsen, ParticleDB hakkındaki raporunu yayınladı, Orkes'ten yapay zeka ajanlarına yönelik bir Rust veritabanı. Orkes çalışmayı finanse etti. Ana sayfa Tam ACID, saniyede yüz elli dokuz bin işlem diyordu. Jepsen, ParticleDB'yi ilk 1.1 sürümünden son sürüm adayına kadar test etti. Site, onu resmi olarak kanıtlanmış olarak adlandırdı, bir TLA artı kanıtı ile. Jepsen, çalışma sırasında TLA artı spesifikasyonunun mevcut olmadığını söylüyor.

1:10 Tam ACID satırının altında, aynı sayfa anlık görüntü yalıtımı dedi, ki bu tamamen yalıtılmış değildir. Hatalar incelikli değildi. Çoğu bir sunucu, bir istemci ve enjekte edilmiş hata gerektirmiyordu. Dört eşittir beş diyen bir where maddesi satırları döndürdü. True diyen bir where maddesi hiçbir şeyle eşleşmedi. Güncellemeler aynı birincil anahtara sahip iki satırı bıraktı. Jepsen'in test ettiği son sürüm, sürüm adayı yirmi iki,

1:36 çok daha güvenliydi. Yine de, varsayılan işlem modu normal çalışma sırasında kaydedilmiş yazılımları kaybetti, en katı mod bile bir işlem öldürme işleminden sonra kayıp güncellemeleri hala sağladı. Orkes, bir sonraki sürümünün tüm bunları düzelttiğini söylüyor. Jepsen test etmedi. Yani o son sürümde, Tam ACID vaat eden bir veritabanı, zaten kaydettiği bir yazmayı kaybedebilirdi. Hız, sanırım, mükemmeldi.

2:00 Jepsen'in tavsiyesi açık. ParticleDB'nin daha fazla dağıtımını durdurun ve mümkün olan en kısa sürede başka bir veritabanına geçin. Orkes, bir bahar yeniden düzenlemesini suçluyor ve kendi müşterilerinin, eski bir sürümde, muhtemelen etkilenmediğini söylüyor. Saklı yordam belgeleri hatta Kyle Kingsbury için bir e-posta adresi icat etti. İkinci hikaye. Lenovo ThinkPlus FU yüz, bir parmak izi USB belleğidir.

İkinci hikaye: Lenovo parmak izi USB belleğinin içinde ne vardı?

2:21 AES iki yüz elli altı ile donanımsal olarak şifrelenmiş olarak pazarlanıyor. Güvenlik araştırmacısı Xusheng Li birini parçaladı ve sıradan bir SD kart buldu, üzerinde hiçbir şey şifrelenmemişti. Parmak izi okuyucu tek bir şeye karar verdi, belleğin bilgisayara bağlanıp bağlanmadığına. Karttaki dosyalar buna hiç bağlı değildi. Li, hatayı Ağustos yirmi yirmi beşte Lenovo'ya bildirdi. İlk düzeltme, SD kartın üzerine bir epoksi tabakasıydı. Yani dosyalar hiç şifrelenmedi.

2:47 Bekle, bu sadece bir SD kart mı? Hep öyleydi. Lenovo kendi uyarısını yüksek olarak derecelendirdi. Daha sonraki düzeltme, FU yüz ve üç ilgili sürücü için, Çin'de bir servis hattını aramayı, sonra ya sürücüyü geri göndermeyi ya da yerinde bir firmware yükseltmesi almayı gerektiriyor. Lenovo önce sürücüyü silmenizi öneriyor. Geçen hafta Li, OpenAI'nin Codex'ini ve işvereninin tersine mühendislik

3:09 aracını diğer üreticilerin USB koruma yazılımlarına yönlendirdi. Netac'ınki yaklaşık yedi dakika sürdü, çünkü içinde sabit bir anahtar vardı ve şifreyi teşhis günlüklerine yazıyordu. Bir sürücüde Li'nin arka kapılar dediği iki gizli hesap vardı. Bir sürücünün güvenliği donanımsalsa, kendiniz kontrol edin. Dosyaları belleğe ulaşmadan önce kontrol ettiğiniz yazılımla şifreleyin, ve parmak izini bir kolaylık olarak değerlendirin.

Üçüncü hikaye: Karpathy bir sabah ne yaptı?

3:31 Üçüncü hikaye, hafif olan. Cuma gecesi Andrej Karpathy YouTube'u açtı, 'siyah çorba duvarı' dediği şeyi gördü ve Cumartesi sabahı kodlama ajanına Hacker News'in tavsiye ettiği her şeyden bir yedek oluşturmasını söyledi. Ajan, Hacker News yorumlarını indirdi, spam'i filtreledi ve bir YouTube videosu öneren yaklaşık kırk binini tuttu. Bu, iki bin yediden günümüze kadar, yüz elli konuda altı bin dört yüz elli dört video bıraktı.

3:58 Site hackertube.org. Yükleyicinin seçtiği küçük resim yerine yarı işaretinden kareyi gösteriyor, ki bu biraz can sıkıcı. Karpathy, tüm yapının yaklaşık iki saat sürdüğünü söylüyor. Tek manuel adımları bir Google API anahtarı, bir sunucu ve bir alandı. On iki Ekim'de size Karpathy'nin erişim ve görevlerin insanların bu araçları anlama biçiminde bir boşluk yarattığını düşündüğünü söylemiştim. İki saatlik çalışma iyi bir veri noktasıdır.

4:21 Dördüncü hikaye, üzerinde hareket edilecek olan.

Dördüncü hikaye: CVE-2026-98432 için ne yamalayacaksınız?

4:23 CVE yirmi yirmi altı, doksan sekiz dört yüz otuz iki, Linux çekirdeğinin I P v dört TCP el sıkışmasındaki bir use-after-free hatasıdır, on üzerinden dokuz nokta sekiz puan aldı. Giriş yapmamış uzaktaki bir eş buna erişebilir. Eric Dumazet düzeltmeyi birinci Ekim'de yazdı. Düzeltme, on birinci ve on beşinci Ekim'de kararlı çekirdeklere ulaştı, ve hata Linux dört nokta dört'e kadar uzanıyor. Red Hat, otuzuncu Ekim'de derecelendirmesini önemli'den kritik'e yükseltti. Cumartesi akşamı, Ubuntu ve Red Hat Enterprise Linux hala sabit bir

4:52 çekirdek listelemedi. Anthropic, Claude'un çok yollu TCP dinleyicisi olan sunucular için çalışan bir istismar yazdığını ve Go programlarının Go bir nokta yirmi dörtten beri bunları varsayılan olarak açtığını söylüyor. Go ekibi, bu dinleyiciye sahip olmayan sistemlerin benzer saldırılara karşı savunmasız olabileceği konusunda uyarıyor ve en iyi düzeltmenin yamalanmış bir çekirdek olduğunu söylüyor. Dağıtımınızda henüz sabit bir çekirdek yoksa, Red Hat ve AlmaLinux, I P v dört TCP paketlerini IP seçenekleriyle bırakan bir güvenlik duvarı kuralı yayınlar. Red Hat, bunun maruz kalmayı azalttığını ve tamamen önleyemediğini söylüyor.

5:23 Bundan sonra beklersiniz. Bugün ne yapmalı. Dağıtımınızın sabit çekirdeğini yükleyin ve kapsayıcı ana bilgisayarlarında ve Kubernetes düğümlerinde de yeniden başlatın, çünkü kapsayıcılar ana bilgisayar çekirdeğini paylaşır. Debian, Suse ve Amazon Linux zaten düzeltmelere sahip. Henüz yama yapamıyorsanız, çok yollu TCP dinleyicileri çalıştıran ana bilgisayarlardan başlayın. Şimdi söz verdiğim kronometre.

Kronometreye geri dönüş: istismar ne kadar sürdü?

5:44 Anthropic'in kendi kavram kanıtında, bir çekirdek işaretçisini sızdırmak kırk sekiz dakika sürüyor, sonra bir kabuk komutunu çalıştırmak için beş dakika daha. Anthropic istismarı yayınlamadı. Bunu benden duymak yerine okumak isterseniz, fark her sabah e-postanıza düşer, thedailydiff.dev adresinde ücretsiz, bağlantı aşağıda.

Karar: GERİ AL

6:02 Yani bugünün kararı GERİ AL. ParticleDB'yi geri alırdım, çünkü Jepsen'in tavsiyesi dağıtımı durdurmak, ve o çekirdeği yamalardım, çünkü bir kronometre ile geliyor. Ve bugünün farkı bu. Ben Axrisi'den Niko. Sorumlu bir şekilde birleştirin.

Kaynaklar

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas