في هذا المقال
إن كانت شركتك تشغل GitLab على خادمها الخاص، فحدثه اليوم. أصدرت الشركة في 12 أكتوبر 2026 تحديثا أمنيا حرجا يعالج 24 ثغرة، أخطرها الثغرة CVE-2026-97229 التي حصلت على أعلى درجة خطورة ممكنة: 10 من 10. هذه الثغرة تسمح لشخص لا يملك أي حساب على خادمك بتشغيل أوامره عليه. المتأثر كل خادم يعمل بالإصدارات من 19.2 حتى ما قبل 19.2.8، ومن 19.3 حتى ما قبل 19.3.5، ومن 19.4 حتى ما قبل 19.4.2. والحل الوحيد الذي تذكره الشركة هو الترقية إلى 19.4.2 أو 19.3.5 أو 19.2.8. أما من يستخدم خدمة GitLab.com السحابية فلا يحتاج شيئا.
ما هذا النظام، ولماذا يهم صاحب العمل؟
هو المكان الذي يحفظ فيه فريقك التقني الشفرة المصدرية لأنظمتك وتطبيقاتك، ومنه تبنى النسخ الجديدة وترسل إلى الخوادم. كثير من الشركات تشغله على خادم داخلي بدل الخدمة السحابية، لتبقى الشفرة والبيانات داخل المنشأة. وهذا الخادم يحمل في العادة أكثر مما يتوقع صاحب العمل: الشفرة المصدرية كاملة، وكلمات مرور قواعد البيانات، ومفاتيح الربط مع بوابات الدفع والخدمات الحكومية، وصلاحية النشر إلى الخوادم التي يستخدمها عملاؤك. من يسيطر على هذا الخادم يستطيع أن يقرأ كل ذلك، وأن يغير الشفرة قبل أن تصل إلى عملائك.
ما الذي أعلنته الشركة بالضبط؟
بحسب إعلان التحديث الرسمي من GitLab، الثغرة خلل في الجزء الذي يعالج التعابير النمطية داخل إعدادات خطوط البناء والنشر (CI/CD). والتعبير النمطي نص قصير يصف نمطا للبحث. يقول الإعلان إن الخلل قد يسمح لمستخدم غير مسجل الدخول بتشغيل شفرة على الخادم عبر تعبير نمطي مصمم لهذا الغرض، بسبب ضعف التحقق من هذه التعابير. وقد أبلغ عنها باحث عبر برنامج مكافآت الثغرات لدى الشركة على منصة HackerOne.
ولم يقل الإعلان إن الثغرة استغلت فعلا. لكن الدرجة 10 تعني أن الاستغلال ممكن عبر الإنترنت، ولا يحتاج كلمة مرور ولا مساعدة من أي موظف. ومثل هذه الثغرات يبدأ المهاجمون بالبحث عنها بعد أيام قليلة من نشر تفاصيل الإصلاح، لأن الإصلاح نفسه يدلهم على موضع الخلل.
ماذا يوجد في التحديث غير الثغرة الحرجة؟
التحديث نفسه يعالج 23 ثغرة أخرى، منها خمس عالية الخطورة:
- ثغرة حقن نصوص خبيثة في عرض الشفرة الملونة، بدرجة 8.7.
- خلل في الصلاحيات عند إنشاء خطوط البناء، بدرجة 8.5.
- تعبير نمطي متساهل يمس الوصول إلى الملفات، بدرجة 8.2.
- خلل في صلاحيات سياسات تنفيذ خطوط البناء في النسخة المدفوعة، بدرجة 7.7.
- ثغرة حقن تعليمات في وكيل الذكاء الاصطناعي GitLab Duo في النسخة المدفوعة، بدرجة 7.3.
أي أن الإصدارات الأقدم من 19.2، التي لا تشملها الثغرة الحرجة، ليست آمنة بالضرورة. تقول سياسة الصيانة الرسمية لدى GitLab إن الإصلاحات الأمنية تصل إلى الإصدار الحالي والإصدارين الشهريين السابقين له فقط. فالخادم الذي يعمل بإصدار أقدم من ذلك لم يعد يستقبل أي إصلاح أمني، ويحتاج ترقية على كل حال.
من يحتاج أن يتحرك؟
- من يستخدم GitLab.com السحابي: لا شيء، فالخدمة تعمل بالإصدار المحدث.
- من يستخدم GitLab Dedicated: لا شيء أيضا، كما يقول الإعلان.
- من يشغله على خادمه الخاص: يحدث فورا، وهي توصية الشركة الصريحة لكل تثبيت ذاتي.
- من لا يعرف أين يعمل النظام عنده: اسأل فريقك أو المورد الذي بنى أنظمتك اليوم. كثير من الخوادم الداخلية أنشأها مورد سابق ثم نسيها الجميع.
خطوات عملية لهذا الأسبوع
- اعرف الإصدار: اطلب من المسؤول التقني فتح صفحة المساعدة في النظام، وقراءة رقم الإصدار الظاهر فيها، ومقارنته بالأرقام أعلاه.
- حدد موعد الترقية اليوم لا نهاية الشهر: بحسب الإعلان، الخادم الواحد يتوقف أثناء التحديث حتى تكتمل تحديثات قاعدة البيانات، أما الخوادم المتعددة فيمكن تحديثها بلا توقف إن اتبعت إجراءات الترقية الصحيحة. توقف ساعة خارج وقت العمل أرخص بكثير من خادم مخترق.
- إن كنت على الإصدار 19.3: رق إلى 19.3.5 مباشرة لا إلى 19.3.4، فالإعلان يذكر أن 19.3.4 كان فيه خلل يمس صفحات طلبات الدمج عند تفعيل تكامل Ona، وأصلح في 19.3.5.
- قلل الظهور على الإنترنت: إن لم يكن هناك سبب لأن يصل إلى الخادم أي شخص من خارج الشركة، فاجعله لا يقبل الاتصال إلا من شبكة الشركة أو عبر شبكة خاصة افتراضية. هذا لا يغني عن التحديث، لكنه يضيق الباب في المرة القادمة.
- افحص بعد التحديث: راجع قائمة المستخدمين والمفاتيح ورموز الوصول التي أنشئت مؤخرا، وإن ظهر شيء لا يعرفه أحد فغير كلمات المرور والمفاتيح المخزنة في الخادم.
وتجد خطوات الترقية لكل طريقة تثبيت في دليل الترقية الرسمي.
رأي أوريغامي
نحن نستخدم هذه المنصة يوميا، فمستودعاتنا هناك، ولذلك نتابع إعلاناته الأمنية كما نتابع فواتيرنا. والدرس هنا أوسع من منصة واحدة: كل نظام تشغله بنفسك لتحتفظ ببياناتك داخل المنشأة يأتي معه واجب تحديثه في يومه. والمشكلة التي نراها كثيرا ليست في القرار نفسه، بل في غياب الاسم المسؤول عن التحديث. خادم أنشأه مورد قبل ثلاث سنوات ولا يعرف أحد من يحدثه هو أول ما يبحث عنه المهاجم. قلنا الشيء نفسه عن ثغرة متاجر Magento: التحديث وحده لا يكفي إن تأخر. وإن احتجت إلى من يراجع خوادمك أو يتولى تحديثها، تواصل معنا.
المصادر
أسئلة شائعة
هل تتأثر شركتي بثغرة GitLab الجديدة CVE-2026-97229؟
تتأثر إن كنت تشغل GitLab على خادمك الخاص بإصدار من 19.2 قبل 19.2.8، أو 19.3 قبل 19.3.5، أو 19.4 قبل 19.4.2. أما مستخدمو GitLab.com السحابي وGitLab Dedicated فلا يحتاجون أي إجراء بحسب GitLab.
ما الإصدار الذي أرقي إليه؟
إلى 19.4.2 أو 19.3.5 أو 19.2.8، وهي الإصدارات التي أصدرتها GitLab في 12 أكتوبر 2026. ومن كان على الإصدار 19.3 فليذهب إلى 19.3.5 مباشرة، لأن 19.3.4 كان فيه خلل أصلح في 19.3.5.
هل يتوقف GitLab عن العمل أثناء التحديث؟
الخادم الواحد يتوقف أثناء التحديث حتى تكتمل تحديثات قاعدة البيانات، أما التثبيت على عدة خوادم فيمكن تحديثه بلا توقف إن اتبعت إجراءات الترقية التي توثقها GitLab. لذلك يفضل جدولته خارج وقت العمل في اليوم نفسه.
خادمنا يعمل بإصدار أقدم من 19.2، هل نحن بأمان؟
لستم متأثرين بهذه الثغرة الحرجة تحديدا، لكن سياسة GitLab تقصر الإصلاحات الأمنية على الإصدار الحالي والإصدارين الشهريين السابقين له، فالإصدار الأقدم لم يعد يستقبل أي إصلاح أمني ويحتاج ترقية.
تابع أوريجامي في نتائج قوقل
ثبت أوريجامي كمصدر مفضل، فتظهر لك مقالاتنا أولا في نتائج قوقل وفي الأخبار الرائجة.
الإضافة إلى المصادر المفضلة في Google
