GitLab CVE-2026-110264: ثغرة بدرجة 10.0 تمتد اثنتي عشرة سنة، وماذا تفعل إن كنت تدير خادمك
GitLab تغلق ثغرة CVE-2026-110264 بدرجة 10.0 تتيح تنفيذ شيفرة بلا تسجيل دخول. اعرف الإصدارات المصحَّحة وهل أنت متأثر وخطوات الترقية العاجلة.
في 21 أكتوبر 2026 أصدرت GitLab تحديثات طارئة لإغلاق ثغرة CVE-2026-110264 التي حصلت على الدرجة القصوى 10.0 في مقياس CVSS. الثغرة تسمح لمهاجم غير موثَّق، دون أي تسجيل دخول، بتنفيذ شيفرة عن بُعد على خوادم GitLab المُدارة ذاتياً، وتمتد إلى إصدارات تعود حتى النسخة 7.0 قبل نحو اثنتي عشرة سنة. إن كنت تشغّل GitLab على خادمك فهذا المقال يشرح ما نعرفه، وما لا نعرفه، وما الذي عليك فعله الليلة.
ما الذي حدث؟
الخلل عبارة عن تجاوز عددي (Integer Overflow) في مصرّف التعابير النمطية، عند معالجة تعبير نمطي مصمَّم خصيصاً. يقع الضعف في Onigmo، محرك التعابير النمطية في روبي، وتستخدم GitLab نسخة منه تعدّلها ضمن بنائها الخاص. ولأن المحرك يعمل في صميم التطبيق، فإن الوصول إليه لا يتطلب صلاحيات.
متجه التقييم المعلن هو AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H، وترجمته العملية:
- الهجوم يتم عبر الشبكة.
- تعقيده منخفض.
- لا يحتاج حساباً ولا تفاعلاً من مستخدم.
- يؤثر على السرية والسلامة والتوافر معاً.
مسار الهجوم: ما المؤكد وما غير المؤكد
بعض الباحثين ذكروا أن ملف Org-mode (.org) مصمَّماً داخل مشروع عام يُعرض من الخادم قد يكون نقطة الدخول. مصادر أخرى تقول إن إشعار GitLab لا ينشر شروط الاستغلال كاملة. لذلك نتعامل مع مسار Org-mode على أنه غير مؤكد ولا نبني عليه قرارات الحماية.
هل أنت متأثر؟
| الحالة | هل تحتاج إلى إجراء؟ |
|---|---|
| GitLab.com | لا، تعمل بالنسخة المصحَّحة |
| GitLab Dedicated (19.3.5-internal0 أو 19.4.2-internal0 وما بعدها) | لا، الإصلاح مطبَّق |
| نسخة مُدارة ذاتياً (CE أو EE) | نعم، فوراً |
| نسخة طبّقت تحديث 12 أكتوبر | نعم، فالتحديث السابق لا يغطي هذه الثغرة |
الإصدارات المصحَّحة التي أُعلنت: 18.11.13 و19.0.10 و19.1.9 و19.2.9 و19.3.6 و19.4.3 و19.5.1. أي إصدار أقدم داخل هذه الفروع يبقى معرَّضاً.
لا يوجد حل بديل مؤقت (Workaround) لهذه الثغرة، والترقية هي الدفاع الوحيد.
خطوات عملية الليلة
- حدّد الفرع الذي تعمل عليه وانظر إلى أقرب إصدار مصحَّح له من القائمة أعلاه.
- خذ نسخة احتياطية كاملة من البيانات والإعدادات قبل أي ترقية.
- رقِّ إلى الإصدار المصحَّح وفق مسار الترقية الرسمي الذي توثّقه GitLab لنسختك، ولا تقفز بين إصدارات رئيسية دون التحقق من المسار المدعوم.
- راجع السجلات بحثاً عن طلبات غير معتادة إلى المشاريع العامة منذ 21 أكتوبر.
- قلّل التعرض إن لم تستطع الترقية فوراً: ضع الخادم خلف VPN أو قيِّد الوصول بالشبكة، مع العلم أن هذا تخفيف مؤقت وليس إصلاحاً.
كم خادماً مكشوفاً؟
الأرقام متضاربة. منشور على منصة X تحدث عن نحو 60 ألف خادم على Shodan، بينما نقل BleepingComputer عن Shadowserver أكثر من 2,700 نسخة CE مكشوفة. الفرق الكبير سببه اختلاف طريقة العدّ، فلا تعتمد على أي رقم منهما لتقدير مخاطرك، بل افحص خادمك أنت.
ما لا نعرفه بعد
حتى وقت كتابة المقال لم يُؤكَّد استغلال الثغرة فعلياً، ولم تُضَف إلى كتالوج CISA للثغرات المستغلَّة. لكن غياب الاستغلال المؤكد لا يعني الأمان؛ فنشر الإصلاح يتيح للمهاجمين مقارنة التعديلات وبناء استغلال، وهذا ما يحدث عادة خلال أيام. كما ظهر ذكر لمعرّف آخر هو CVE-2026-97229 في بعض المصادر، لكنه غير موثَّق ولا ينبغي خلطه بهذا التنبيه.
دروس تتجاوز GitLab
- منصات الشيفرة هي مفاتيح المملكة. من يصل إلى خادم الشيفرة يصل غالباً إلى أسرار CI والتوزيع.
- التبعيات المضمَّنة تحتاج مراقبة. الثغرة هنا في مكوّن مضمَّن ومعدَّل، لا في حزمة تُحدَّث تلقائياً.
- ابنِ روتيناً للترقيات العاجلة. من يملك نافذة صيانة جاهزة وإجراء نسخ احتياطي مجرَّب يعالج مثل هذه الحوادث في ساعات لا أيام.
- قلّل ظهور الخدمات الداخلية على الإنترنت العام قدر الإمكان.
أسئلة شائعة
هل يتأثر مستخدمو GitLab.com؟
لا. المنصة السحابية تعمل بالنسخة المصحَّحة، والإجراء مطلوب فقط ممن يديرون خوادمهم بأنفسهم.
هل تكفي الترقية لتأمين خادمي؟
الترقية تغلق الثغرة، لكن إن كان الخادم مكشوفاً قبلها فراجع السجلات وفكّر في تدوير الأسرار المخزَّنة فيه كإجراء احترازي.
هل يمكنني تعطيل ميزة معيّنة بدل الترقية؟
لا يوجد حل بديل معلن. الترقية هي الطريق الوحيد، وأي تقييد للشبكة تخفيف مؤقت فقط.
الخلاصة
CVE-2026-110264 ثغرة بدرجة 10.0 تصيب كل خادم GitLab مُدار ذاتياً تقريباً، ولا حل لها إلا الترقية إلى 18.11.13 أو 19.0.10 أو ما يقابل فرعك. خذ نسخة احتياطية، رقِّ الليلة، وراجع السجلات. وإن كنت تستخدم GitLab.com فلا إجراء مطلوباً منك.
المصادر: Cybersecurity News، GBHackers، Eastern Herald، WebProNews
