نشرة مركز الاستجابة الأمنية كارن آي تي (KSRC)

رقم الإرشاد: KSRC-2026-007 | تاريخ النشر: 02 نوفمبر 2026

تنفيذ تعليمات برمجية عن بُعد حرج وغير مصادق عليه في GitLab CE/EE
CVE-2026-97229

الملخص

تم اكتشاف ثغرة حرجة في GitLab Community Edition (CE) و Enterprise Edition (EE) تسمح لمهاجم عن بُعد غير مصادق عليه بتنفيذ تعليمات برمجية عن بُعد (RCE) على خادم GitLab. تحمل هذه الثغرة المعرّف CVE-2026-97229 وقد تم تقييمها بدرجة خطورة 10.0 (حرجة) وفق معيار CVSS v3.1، وهي أعلى درجة ممكنة.

يتم استغلال هذه الثغرة بشكل نشط في الطبيعة، وقد أُضيفت إلى كتالوج الثغرات المستغلة المعروفة (KEV) التابع لـ CISA في 29 أكتوبر 2026. نحثّ المؤسسات التي تدير نسخ GitLab ذاتية الاستضافة على تطبيق التحديثات فوراً.

نظرة تقنية

تُصنّف الثغرة على أنها تجاوز عدد صحيح أو التفاف (Integer Overflow / Wraparound - CWE-190) في مُجمّع التعبيرات النمطية (Regular Expression Compiler) الخاص بـ CI/CD في GitLab. عندما يتم توفير تعبير نمطي معدّ خصيصاً داخل ملف تكوين CI/CD (مثل .gitlab-ci.yml)، فإن التحقق غير الكافي يسمح بحدوث حالة تجاوز عدد صحيح أثناء تجميع نمط التعبير النمطي.

يقع الكود المتأثر في محرك التعبيرات النمطية Onigmo المُدمج مع بيئة تشغيل Ruby التي يشحنها GitLab. وبما أن GitLab يقوم بتغليف نسخته الخاصة من Ruby، فإن الإصلاح يُقدَّم من خلال حزم GitLab المحدّثة وليس عبر تحديث منفصل لـ Ruby في معظم التثبيتات الرسمية.

يسمح الاستغلال الناجح لمهاجم غير مصادق عليه بتنفيذ تعليمات برمجية عشوائية بصلاحيات حساب خدمة GitLab، مما قد يؤدي إلى السيطرة الكاملة على خادم GitLab، والوصول إلى مستودعات الشيفرة المصدرية، وأسرار CI/CD، والتحرك الجانبي داخل البيئة.

الأنظمة المتأثرة

• إصدارات GitLab CE/EE من 19.2 قبل 19.2.8
• إصدارات GitLab CE/EE من 19.3 قبل 19.3.5
• إصدارات GitLab CE/EE من 19.4 قبل 19.4.2

الإصدارات المُصلحة:

• 19.2.8
• 19.3.5
• 19.4.2

تم بالفعل تصحيح GitLab.com (النسخة السحابية) من قبل GitLab. يركز هذا الإرشاد بشكل أساسي على التثبيتات ذاتية الاستضافة (Self-managed).

حالة الاستغلال

• تم نشر كود إثبات المفهوم (PoC) علناً في 13 أكتوبر 2026.
• أضافت CISA الثغرة إلى كتالوج KEV في 29 أكتوبر 2026.
• طُلب من الوكالات الفيدرالية الأمريكية إصلاح الثغرة بحلول 1 نوفمبر 2026.
• تم تأكيد الاستغلال النشط في الطبيعة.

التوصيات

1. الإجراء الفوري: قم بترقية جميع نسخ GitLab CE/EE ذاتية الاستضافة إلى أحد الإصدارات المُصلحة (19.2.8 أو 19.3.5 أو 19.4.2) دون تأخير.
2. إذا كنت تشغّل GitLab على تثبيت Ruby مخصص أو خارجي (وليس النسخة المُدمجة مع حزم GitLab الرسمية)، فتأكد من تحديث Ruby الأساسي أيضاً إلى إصدار مُصلح (مثل Ruby 3.3.13 أو 3.4.12 أو 4.0.8+).
3. راجع تكوينات CI/CD والنشاط الأخير لخطوط الأنابيب بحثاً عن أي تعبيرات نمطية مشبوهة أو غير معتادة.
4. راقب سجلات تطبيق GitLab وسجلات النظام ونشاط العمليات بحثاً عن علامات الاختراق (عمليات غير متوقعة، اتصالات صادرة، أو ملفات معدّلة).
5. في حال الاشتباه في حدوث اختراق، اتبع إجراءات الفرز الجنائي وقم بتدوير جميع الأسرار والرموز وبيانات الاعتماد المخزنة في مثيل GitLab أو التي يمكن الوصول إليها من خلاله.
6. قيّد الوصول الشبكي إلى مثيل GitLab حيثما أمكن، وتأكد من عدم تعريضه للإنترنت العام دون ضرورة.

ينبغي على المؤسسات التي تعتمد على GitLab للتحكم في الشيفرة المصدرية وخطوط أنابيب CI/CD التعامل مع هذه الثغرة كأولوية طارئة بسبب الجمع بين تنفيذ التعليمات البرمجية عن بُعد دون مصادقة، والاستغلال النشط، والطبيعة الحساسة للبيانات التي عادةً ما تُخزَّن في بيئات GitLab.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.