أصدرت GitLab في 12 أكتوبر 2026 الإصدارات 19.4.2 و19.3.5 و19.2.8 من نسختيها المجتمعية (CE) والمؤسسية (EE)، لإصلاح ثغرة حرجة قد تتيح لمستخدم غير مصادق تنفيذ شيفرة عشوائية على خادم GitLab، بحسب نشرتها الأمنية.
تحمل الثغرة المعرف (CVE-2026-97229 بتقييم CVSS عند 10.0)، وسببها تجاوز عدد صحيح (integer overflow) في مترجم التعبيرات النمطية الخاص بإعدادات CI/CD. وتقول GitLab إن التحقق غير الكافي من التعبير النمطي قد يسمح، في ظروف معينة، بتنفيذ أوامر على الخادم عبر تعبير نمطي معد خصيصاً في إعدادات CI/CD، دون أن يكون المهاجم مسجل الدخول.
وتتسم الثغرة بقابليتها للاستغلال عبر الشبكة بمتجه التقييم CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H، وهي منخفضة التعقيد ولا تتطلب صلاحيات مسبقة أو تفاعل مستخدم، وتؤثر بدرجة عالية في سرية النظام وسلامته وتوافره. وأدرج السجل الوطني للثغرات (NVD) الثغرة في 13 أكتوبر بتقييم GitLab نفسه، وأورد في سجله تصنيف GitLab للضعف تجاوزاً لعدد صحيح (CWE-190).
وتطال الثغرة إصدارات GitLab CE وEE من 19.2 ما قبل 19.2.8، ومن 19.3 ما قبل 19.3.5، ومن 19.4 ما قبل 19.4.2. وأكدت GitLab أن موقع الشركة يعمل بالنسخة المُصلحة مسبقاً، وأن عملاء GitLab Dedicated لا يحتاجون إلى أي إجراء، مع التوصية بترقية التثبيتات المستضافة ذاتياً على الفور.
ونسبت GitLab اكتشاف الثغرة إلى الباحث joaxcar، الذي أبلغ عنها عبر برنامج مكافآت الثغرات في منصة HackerOne، دون الإشارة في النشرة إلى توفر حل مؤقت أو رصد استغلال فعلي.
وأصدر فريق الاستجابة لطوارئ الحاسوب في مؤسسات الاتحاد الأوروبي (CERT-EU) في 12 أكتوبر نشرة أمنية، أوصى فيها بترقية نسخ GitLab المستضافة ذاتياً، بدءاً بالأنظمة المعرضة للإنترنت، مؤكداً عدم تسجيل هجمات نشطة.
وضمت النشرة إصلاح ثغرات أخرى، بينها خمس عالية الخطورة، أبرزها (CVE-2026-92883 بتقييم CVSS عند 8.7)، وهي برمجة نصية عبر المواقع (XSS) في تمييز بناء الجملة تتيح للمستخدم الموثق تنفيذ شيفرة JavaScript في جلسات مستخدمين آخرين عبر مستودع معد خصيصاً. وتليها الثغرة (CVE-2026-16301 بتقييم CVSS عند 8.5) الناتجة عن خلل في التحقق من الصلاحيات، مما يتيح للمطور تشغيل خطوط CI/CD على فروع محمية دون تصريح.
وتنشر GitLab تفاصيل كل ثغرة في متتبع المشكلات العام بعد 90 يوماً من إطلاق الإصدار المعالج.
