GitLab تصلح 13 ثغرة بينها CVE-2026-110264 بدرجة 10.0 تتيح تنفيذ كود دون مصادقة

أصدرت GitLab في 21 أكتوبر 2026 إصدار ترقيع حرجًا يصلح 13 ثغرة، منها واحدة Critical واثنتان High. والثغرة الحرجة رقمها CVE-2026-110264، ودرجتها 10.0 على مقياس CVSS، وهي أعلى درجة فيه.

ونوع الخلل integer overflow في مترجم الـ regex، أي تجاوز في قيمة عددية داخل الجزء الذي يحوّل التعبيرات النمطية إلى شيء قابل للتنفيذ. والنتيجة تنفيذ كود دون مصادقة، وهذا ما يجعل الثغرة خطيرة: المهاجم لا يحتاج حسابًا على الخادم ولا دعوة ولا token.

والنسخ المتأثرة هي كل ما يبدأ من 7.0 قبل النسخ المصلحة، والنسخ المصلحة هي 19.5.1 و19.4.3 و19.3.6 و19.2.9 و19.1.9 و19.0.10 و18.11.13. وخدمة gitlab.com مُرقّعة بالفعل، أما المتأثر فهو النسخ المثبتة على خوادم العملاء.

وفي الإعلان نفسه سبب يجعل مثل هذا الترقيع يُؤجَّل عادة. فالنسختان 19.4.3 و19.3.6 تتضمنان migrations، أي تعديلات على قاعدة البيانات، يجب أن تكتمل قبل أن تعود الخدمة. وعلى خادم واحد يعني ذلك توقفًا فعليًا، فيصبح القرار متعلقًا بموعد إيقاف العمل لا بالتحديث نفسه. وللخوادم متعددة العقد دليل منفصل للتحديث دون توقف.

ونشرت GitLab وصفين لرصد محاولات استغلال الثغرة على الخوادم الخاصة، هما “Onigmo native worker crash” و“Org mode render error burst”.

وتضم القائمة ثغرتين أخريين: CVE-2026-15723 بدرجة 8.2، وهي خلل في الربط التلقائي بين OmniAuth وLDAP يؤدي إلى الاستيلاء على حساب، وCVE-2026-112212 بدرجة 7.5، وهي تسميم للـ cache في نقاط اكتشاف OAuth وOIDC.

وتختار فرق كثيرة في المنطقة تثبيت GitLab على خوادمها لأسباب تتعلق بالكلفة وبقاء البيانات داخل حدودها. وهذا الخادم يحمل كود الفريق ومفاتيح الـ CI، فتوقيت الترقيع عليه يمس أهم ما يملكه الفريق.