Alpine Linux: خادم GitLab بقي مكشوفًا بعد ترقيتين لأن إصلاح الثغرة كان في Ruby
المغزى: رقم الإصدار يغطّي الكود الذي يوزّعه المشروع نفسه، أما المكتبات المحزومة تحته فلها جدول تحديث مستقل، فعبارة «نعمل على آخر إصدار» لم تعد جوابًا كاملًا عن الأمان.
GitLab تصلح 13 ثغرة بينها CVE-2026-110264 بدرجة 10.0 تتيح تنفيذ كود دون مصادقة
المغزى: الخادم الذي يحمل كود الفريق ومفاتيح الـ CI مكشوف لمهاجم لا يحتاج حسابًا، وتوقف الخدمة أثناء التحديث يحوّل القرار من التحديث نفسه إلى توقيته.
ثغرة CVE-2026-97229 بدرجة 10 في GitLab تتيح تنفيذ كود دون تسجيل دخول عبر ملف CI/CD
المغزى: ملف الـ CI كود تقرؤه محلّلات قد تحمل ثغرات، والخطر الفعلي يحدده إعداد بسيط هو السماح لأي شخص بإنشاء حساب ومشروع على الخادم.
GitLab.com تحدد الطلبات غير الموثقة بـ 60 طلبًا في الساعة لكل IP بدءًا من 19 أكتوبر 2026
ما يحدد سقف الطلبات ليس قيمة الاشتراك بل وجود توكن في الطلب نفسه، فيتقاسم كل ما يخرج من IP واحد بلا credentials حصة واحدة صغيرة.
ثغرة حرجة في GitLab تتيح حذف المشاريع وتزوير سجل الـ merge دون حساب
الفاصل بين نشر الثغرة واستغلالها صار يومين، وهو أقصر من دورة الترقيع في أغلب الفرق، وتزوير سجل الدمج أخطر من الحذف لأنه قد يمر دون أن يُكتشف.
نشر exploit لسلسلة تنفيذ أوامر في GitLab أُصلحت في يونيو دون تصنيفها إصلاحًا أمنيًا
من يستضيف GitLab على خوادمه يملك جدول الترقيع كاملًا، بما فيه التحديثات التي لم يكتب عليها أحد كلمة أمان، والسياسة التي تكتفي بالإصدارات الأمنية تفوّتها.