ثغرة CVE-2026-97229 بدرجة 10 في GitLab تتيح تنفيذ كود دون تسجيل دخول عبر ملف CI/CD

أصدرت GitLab في 12 أكتوبر 2026 تحديثًا أمنيًا يصلح الثغرة CVE-2026-97229، التي تحمل درجة CVSS الكاملة 10.0. وتصيب الثغرة نسختَي Community Edition وEnterprise Edition، وتتيح تنفيذ كود على الخادم دون مصادقة.

وتقع الثغرة في مترجم التعبيرات النمطية (regular expressions) داخل نظام CI/CD، ونوعها integer overflow. ويعني ذلك أن رقمًا يكبر حتى يتجاوز الحد الذي يتسع له، فيلتف ويعود إلى البداية، فتختل كل الحسابات التي تعتمد عليه بعد ذلك.

ولاستغلالها شرط يحدد من يتأثر فعلًا. فبحسب تحليل Rapid7، يحتاج المهاجم إلى طريقة لزرع إعداد CI/CD خبيث في مستودع على الخادم. وهذا صعب على خادم مغلق مستخدموه معروفون. لكن القيد يختفي على الخوادم التي تسمح للمستخدمين الجدد بالتسجيل بأنفسهم وإنشاء مشاريع.

والنسخ المصلَحة بحسب Rapid7 هي 19.2.8 و19.3.5 و19.4.2. وذكرت بعض التغطيات النسخة 19.3.4 للفرع الثاني، لكن هذه النسخة فيها مشكلة معروفة تعطّل صفحات الـ merge request إذا كان تكامل Ona مفعّلًا، وقد أُصلحت في 19.3.5. أما GitLab.com فقد حُدّثت بالفعل، فلا يحتاج مستخدمو النسخة السحابية إلى أي إجراء.

ويتجاوز معنى الثغرة GitLab نفسها. فكثير من الفرق تتعامل مع ملفات الـ CI على أنها إعدادات، بينما هي كود يُقرأ بمحلّلات، والمحلّلات قد تحمل ثغرات مثل أي كود آخر. ولذلك يصبح التسجيل الذاتي المفتوح على أي خدمة self-hosted جزءًا من سطح الهجوم، لا مجرد خيار إداري.