أطلقت GitLab في 21 أكتوبر 2026 التحديثات الأمنية للإصدارات 19.5.1، و19.4.3، و19.3.6، و19.2.9، و19.1.9، و19.0.10، و18.11.13 لنسختيها المجتمعية (CE) والمؤسسية (EE). تهدف هذه التحديثات إلى معالجة ثغرة أمنية (CVE-2026-110264 بتقييم CVSS عند 10.0) تسمح للمهاجمين غير المصادقين بتنفيذ تعليمات برمجية عشوائية على خوادم GitLab، وفقاً لنشرتها الأمنية.
تنبع الثغرة من خطأ تجاوز عدد صحيح (Integer Overflow) في مترجم التعبيرات النمطية (Regular Expression Compiler) عند معالجة تعبير نمطي معد مسبقاً، وتندرج تحت تصنيف CWE-190. وأشار سجل الثغرات الوطني الأمريكي (NVD)، الذي أدرج الثغرة في 22 أكتوبر، إلى إمكانية تنفيذ الهجوم في ظروف محددة. واعتمد السجل في مراجعه على نشرة GitLab الرسمية، وبلاغ الباحث الأمني عبر منصة HackerOne، إضافة إلى قيد خاص في نظام تتبع المشكلات التابع للشركة.
تستند درجة تقييم الثغرة البالغة 10.0 إلى معيار CVSS 3.1، وفقاً لمتجه الهجوم (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). ويعني هذا التصنيف إمكانية شن الهجوم عن بُعد عبر الشبكة بسهولة، دون الحاجة إلى صلاحيات مسبقة أو تفاعل من المستخدم، ليتجاوز تأثيره المكون المصاب ويشكل تهديداً بالغاً لسرية البيانات، وسلامتها، وتوافرها. ويعد تقييم NVD مطابقاً لتقييم GitLab بصفتها الجهة المصدرة للمعرف.
تطال الثغرة كل إصدار من GitLab CE وEE بدءاً من 7.0، الذي يعود وسم إصداره في مستودع GitLab إلى 20 يونيو 2014، وقبل الإصدارات المعالجة: 18.11.13 و19.0.10 و19.1.9 و19.2.9 و19.3.6 و19.4.3 و19.5.1. وأكدت الشركة تأمين بنيتها التحتية المدارة ذاتياً، بما يشمل خدمات GitLab.com وGitLab Dedicated، ليقتصر التهديد الفعلي على الخوادم المستضافة ذاتياً لدى العملاء. وجرى توفير التحديثات الأمنية لتشمل الفروع 18.11، و19.0، و19.1، و19.2.
اكتشف الباحث الأمني joaxcar هذه الثغرة من خلال برنامج مكافآت الثغرات على منصة HackerOne. وخلت النشرة الأمنية لشركة GitLab من أي حلول مؤقتة لتخفيف المخاطر، مع توصية مشددة بضرورة ترقية كافة الخوادم المتأثرة على الفور.
تخلو التقارير الحالية من أي أدلة على استغلال فعلي للثغرة، كما لم تُدرج ضمن تحديثات كتالوج الثغرات المستغلة التابع لوكالة الأمن السيبراني الأمريكية (CISA) الصادر في 20 أكتوبر. ولتعزيز المراقبة، وفرت GitLab لعملاء الاستضافة الذاتية قاعدتي رصد تحت مسمى “Onigmo native worker crash” و”Org mode render error burst”.
تضمنت التحديثات الأخيرة إصلاح 11 ثغرة أمنية إضافية، أبرزها ثغرتان عاليتا الخطورة: الأولى (CVE-2026-15723 بتقييم CVSS عند 8.2) وتتعلق بمصادقة غير سليمة في بحث البريد الإلكتروني عند الربط التلقائي بين OmniAuth وLDAP. والثانية (CVE-2026-112212 بتقييم CVSS عند 7.5) وتتمثل في تسميم الذاكرة المؤقتة بنقاط اكتشاف OAuth وOIDC. وتتوزع الثغرات المتبقية بين خمس ثغرات متوسطة وأربع منخفضة الخطورة، شملت تسريب عناوين البريد الإلكتروني للمشاريع وإنشاء عناصر عمل عبر واجهة GraphQL في الثغرة (CVE-2026-12664 بتقييم CVSS عند 6.8)، وكشف بيانات اعتماد داخلية في ترويسات الاستجابة ضمن الثغرة (CVE-2026-105777 بتقييم CVSS عند 4.3).
يأتي هذا التحديث بعد إصلاح ثغرة حرجة أخرى (CVE-2026-97229 بتقييم CVSS عند 10.0) في 12 أكتوبر، استهدفت مترجم التعبيرات النمطية الخاص ببيئة CI/CD، وعولجت في الإصدارات 19.4.2، و19.3.5، و19.2.8.
