توصي الشركة بشدة العملاء بالترقية إلى الإصدارات المحدّثة في أقرب وقت ممكن.
نشرت GitLab يوم الأربعاء إصدارات محدّثة من Community Edition (CE) و Enterprise Edition (EE) تعالج اثنتي عشرة ثغرة ومشكلة أمنية، بما في ذلك بعض الثغرات التي تسمح بإجراءات مختلفة غير مصادق عليها.
أخطر المشكلات الأمنية، والمصنفة على أنها حرجة في الخطورة، هي CVE-2026-110264، وهي مشكلة تجاوز سعة عدد صحيح. وذكرت GitLab في نشرتها: «لقد عالجت GitLab مشكلة كان من الممكن، في ظل ظروف معينة، أن تسمح لمستخدم غير مصادق عليه بتنفيذ تعليمات برمجية عشوائية على خادم GitLab بسبب تجاوز سعة عدد صحيح عند تجميع تعبير نمطي مصمم خصيصًا». وأضافت: «بالإضافة إلى إصدارات التصحيح القياسية لدينا، قمنا بتضمين هذا الإصلاح في إصدارات GitLab CE/EE 18.11.13 و 19.0.10 و 19.1.9 و 19.2.9».
تشمل الإصدارات المتأثرة من GitLab CE/EE جميع الإصدارات من 7.0 قبل 18.11.13، و 19.0 قبل 19.0.10، و 19.1 قبل 19.1.9، و 19.2 قبل 19.2.9، و 19.3 قبل 19.3.6، و 19.4 قبل 19.4.3، و 19.5 قبل 19.5.1.
الإصدارات المحدّثة هي 19.5.1 و 19.4.3 و 19.3.6 و 19.2.9 و 19.1.9 و 19.0.10 و 18.11.13.
كما تعالج التصحيحات ثغرة ذات خطورة عالية تحمل الرقم CVE-2026-15723، وهي مشكلة مصادقة غير صحيحة في البحث عن البريد الإلكتروني للربط التلقائي من OmniAuth إلى LDAP تؤثر على GitLab CE/EE. وذكرت GitLab أن هذه مشكلة لأن «عند تمكين كل من OmniAuth SAML والربط التلقائي لـ LDAP، كان بإمكان مستخدم مصادق عليه الاستيلاء على حساب موجود مدعوم بـ LDAP دون أي تفاعل من المستخدم المستهدف، بسبب التطهير غير الصحيح للمدخلات في مسار البحث عن البريد الإلكتروني لـ LDAP المستخدم أثناء ربط هوية OmniAuth».
هذه هي المشكلة الأمنية الحرجة الرابعة التي واجهتها GitLab خلال شهرين. في وقت سابق من أكتوبر، قامت بتصحيح ثغرة تعبير نمطي (regex) ذات خطورة قصوى، وفي سبتمبر، أصلحت CVE-2026-85706، والتي صُنفت أيضًا بعشرة من عشرة في الخطورة. كما كشف تقرير آخر في سبتمبر عن مشكلة مقلقة: رمز مميز طويل الأمد يعرض أمان CI/CD للخطر.
ما هي الإجراءات الفورية المطلوبة؟
اتفق المحللون والاستشاريون على أن الثغرات الحالية خطيرة وتستدعي اتخاذ إجراءات فورية.
قال نوح كيني، المستشار الرئيسي في Digital 520: «ما يبرز لي حقًا هو المصدر الأساسي للثغرة الأمنية». وأضاف: «تنشأ المشكلة من تجاوز سعة عدد صحيح داخل مترجم التعبيرات النمطية، بدلاً من وظائف طورتها GitLab خصيصًا». وأشار إلى أن هذا التمييز مهم لأنه يسلط الضوء على المخاطر المرتبطة بالتبعيات ومكونات البرامج المشتركة. وقال: «يمكن للمؤسسات أن تستثمر بكثافة في تأمين تطبيقاتها الخاصة بينما تظل عرضة للثغرات الأمنية التي يتم إدخالها عبر المكتبات والأطر الأساسية».
أضاف كيني أن مسؤولي أمن المعلومات (CISOs) يجب أن يولوا اهتمامًا خاصًا لإشارة موجزة واحدة ضمن منشور GitLab. وقال: «مدفونة في إصلاحات الأخطاء، وليست حتى في قائمة CVE، توجد جملة حول إزالة علامة الثقة من أدوات MCP التي يوفرها العميل في Workhorse». وأضاف: «بصيغة واضحة، وجدت GitLab مسارًا حيث يمكن تسليم أدوات لوكيل ذكاء اصطناعي لا ينبغي أن يثق بها، وأغلقت هذا المسار بهدوء. هذا يثير قضية مهمة تتعلق بحدود الثقة في الأنظمة التي تدعم الذكاء الاصطناعي».
أشار فرانك ديكسون، المحلل الرئيسي في Dickson Research، إلى أن الثغرات مقلقة بشكل خاص بسبب الطبيعة شديدة التكامل لأنظمة GitLab. وقال: «GitLab ليست مجرد مستودع تعليمات برمجية. إنها تحتوي على الشيفرة المصدرية، وخطوط أنابيب CI/CD، وفي كثير من الأحيان الأسرار التي تستخدمها تلك الخطوط للنشر إلى الإنتاج». وأضاف: «امتلاك خادم GitLab يعني امتلاك مفاتيح المملكة. لا يحتاج المهاجم إلى اختراق الإنتاج عندما يقوم النظام الذي يبني الإنتاج بذلك نيابة عنه».
كما أشار ديكسون إلى أن هذه الإصلاحات قد تحتاج إلى وقت طويل للنشر. وأضاف: «تذكر ملاحظات إصدار GitLab أن هذا التصحيح يتضمن ترحيلات لقاعدة البيانات، وستتوقف مثيلات العقدة الواحدة أثناء تشغيلها. سيطلب أحدهم الانتظار حتى عطلة نهاية الأسبوع. الانتظار هو قبول للمخاطر. هذا القرار يخص مسؤولًا تنفيذيًا، وليس فريق DevOps».
ما هي المخاطر الإضافية المحتملة؟
بالإضافة إلى ذلك، أشار إلى أن طبيعة هذه الثغرات هي تحذير قوي بأن العديد من بائعي المؤسسات الآخرين قد يعانون أيضًا من مشكلات مماثلة. وقال ديكسون: «تكمن الثغرة في Ruby، وليس فقط في شيفرة GitLab الخاصة. تظهر ملاحظات إصدار GitLab أن الإصلاح يأتي كتصحيح لمعالجة التعبيرات النمطية في Ruby، وأن أحد اكتشافاتها سمي باسم Onigmo، محرك التعبيرات النمطية الخاص بـ Ruby». وأضاف: «قد لا تكون GitLab التطبيق الوحيد المعتمد على Ruby الذي يحمل هذا الخطأ. يجب على مسؤولي أمن المعلومات (CISOs) سؤال بائعيهم الآخرين».
وقال كوفي: «إذا استولى مهاجم على حساب مدعوم بـ LDAP، فسيتم تسجيل كل ما يفعله باسم موظف شرعي، وسيشير سجل التدقيق الخاص بك حينها إلى الشخص الخطأ». وأضاف: «يجب على مسؤولي أمن المعلومات (CISOs) أيضًا التحقق من خوادم GitLab الخفية والقديمة مثل المثيلات التي تديرها الفرق، ونسخ التعافي من الكوارث القديمة، وخوادم الشركات المستحوذ عليها، [لأن] هذا يؤثر على الإصدارات التي تعود إلى 7.0 وهذا يعني أن الصناديق المنسية تقع ضمن النطاق».
جرّب الأداة: فاحص التعابير النمطية Regex
