نشر exploit لسلسلة تنفيذ أوامر في GitLab أُصلحت في يونيو دون تصنيفها إصلاحًا أمنيًا

نشر باحث في 24 يوليو 2026 exploit يعمل فعليًا لسلسلة ثغرات تسمح بتنفيذ أوامر عن بُعد في GitLab. والتحديث الذي يغلقها متاح منذ 10 يونيو 2026.

لكن المشكلة ليست في تأجيل التحديث. فقد صدر الإصلاح مصنفًا كـ bug fix لا كـ security fix، ودون رقم CVE أو تقييم CVSS. أي أن الفرق التي تعتمد سياسة “نحدّث عند صدور إصدارات أمنية” لم ترَ ما يستدعي التحرك.

والثغرة ليست في GitLab نفسه، بل في مكتبة Oj، وهي مكتبة Ruby لقراءة JSON يعتمد عليها GitLab. وتتعلق بخللين من نوع memory corruption، يمكن الوصول إليهما عبر ملفات Jupyter notebook مصممة خصيصًا يرفعها مستخدم يملك حسابًا عاديًا، لينتهي الأمر بتنفيذ أوامر بصلاحيات المستخدم git على الخادم.

والجانب المهم للمدافعين هو نطاق التأثر. فخدمة GitLab.com نفسها غير متأثرة، والمشكلة تخص نسخ الـ self-managed وحدها. والنسخ المصلحة هي 18.10.8 و18.11.5 و19.0.2، ومكتبة Oj بدءًا من 3.17.3. أما النسخ القديمة من 15.2 إلى 18.9 فلن يصلها أي إصلاح لاحق (backport).

وكثير من الفرق تستضيف GitLab على خوادمها لتبقى بياناتها تحت سيطرتها، وهو قرار له أسبابه الحقيقية. لكن ثمنه أن مسؤولية الترقيع تنتقل إليها بالكامل، بما في ذلك التحديثات التي لا تحمل وصف “أمني”.

وتكشف الحادثة حدود الاعتماد على التصنيف وحده. فحين تكون الثغرة في مكتبة تابعة، قد لا يدرك حتى المنتج الأساسي حجمها لحظة إصلاحها، ويصبح التصنيف الرسمي مؤشرًا غير كافٍ لتحديد ما يستحق التحديث العاجل.