أصدرت منصة GitLab تحديثات أمنية عاجلة لمعالجة ثغرة بالغة الخطورة حصلت على الدرجة القصوى 10 من 10 وفق نظام تقييم الثغرات CVSS، وهي ثغرة يمكن أن تمنح المهاجمين القدرة على تنفيذ تعليمات برمجية عشوائية على الخوادم المستهدفة دون الحاجة إلى المصادقة أو تسجيل الدخول.
وتسلط هذه الثغرة الضوء على المخاطر المتزايدة التي تواجه بيئات التطوير الحديثة وسلاسل النشر الآلي للتطبيقات، خاصة أن GitLab يعد من أكثر المنصات استخدامًا عالميًا في إدارة الشيفرات المصدرية وتنفيذ عمليات التكامل والتسليم المستمر CI/CD داخل المؤسسات والشركات التقنية.
ثغرة حرجة تسمح بتنفيذ التعليمات البرمجية دون مصادقة
أوضحت GitLab أن الثغرة، التي تحمل المعرف CVE-2026-97229، تنشأ نتيجة مشكلة «Integer Overflow» مرتبطة بآلية التحقق من التعبيرات النمطية «Regular Expressions» داخل إعدادات CI/CD.
ووفقًا للشركة، كان بالإمكان في ظروف معينة استغلال تعبير نمطي مُصمم خصيصًا داخل إعدادات خطوط التطوير والنشر المستمر لتنفيذ تعليمات برمجية عشوائية على خادم GitLab، وذلك بسبب عدم كفاية عمليات التحقق من صحة التعبيرات النمطية المستخدمة.
وتكمن خطورة الثغرة في أن الاستغلال المحتمل لا يتطلب امتلاك حساب أو صلاحيات مسبقة على النظام، الأمر الذي يرفع مستوى المخاطر إلى الحد الأقصى ويجعل الأنظمة غير المحدثة هدفًا جذابًا للمهاجمين السيبرانيين.
وتؤثر الثغرة على الإصدارات التالية:
- جميع إصدارات 19.2 السابقة للإصدار 19.2.8
- جميع إصدارات 19.3 السابقة للإصدار 19.3.5
- جميع إصدارات 19.4 السابقة للإصدار 19.4.2
ودعت GitLab العملاء إلى التحديث الفوري إلى الإصدارات 19.4.2 أو 19.3.5 أو 19.2.8 لسد الثغرة ومنع أي محاولات استغلال محتملة.
ثلاث ثغرات عالية الخطورة تزيد الضغوط على مسؤولي الأمن
لم يقتصر التحديث الأمني الأخير على معالجة الثغرة الحرجة فحسب، بل شمل أيضًا إصلاح ثلاث ثغرات مصنفة عالية الخطورة يمكن أن تؤدي إلى اختراقات متعددة داخل بيئات التطوير المؤسسية.
الثغرة الأولى تحمل المعرف CVE-2026-92883 وحصلت على درجة 8.7، وهي ثغرة من نوع البرمجة النصية عبر المواقع XSS تسمح لمستخدم مصادق عليه بتنفيذ تعليمات JavaScript داخل جلسات مستخدمين آخرين عبر مستودعات معدة خصيصًا لهذا الغرض.
أما الثغرة الثانية، والمسجلة تحت الرقم CVE-2026-16301 بدرجة خطورة 8.5، فتتعلق بخلل في آليات التفويض داخل خدمة إنشاء خطوط المعالجة التابعة «Downstream Pipelines»، ويمكن أن تسمح لمستخدم يحمل صلاحيات Developer بتشغيل خطوط CI/CD على فروع محمية كان يفترض ألا يتمكن من الوصول إليها.
في حين تتمثل الثغرة الثالثة، CVE-2026-14814، والتي حصلت على درجة 8.2، في مشكلة مرتبطة بتعبيرات نمطية مفرطة التساهل قد تؤدي إلى تسميم البيانات المخزنة مؤقتًا الخاصة بملفات المستودعات الخام. ويمكن لهذا السيناريو أن يدفع خطوط CI/CD الخاصة بالمستخدمين المستهدفين إلى تنفيذ محتوى مُعد خصيصًا، مع احتمال كشف متغيرات بيئات العمل المحمية.
DevSecOps تحت الاختبار مجددًا
تعكس هذه الحوادث التحديات المتزايدة التي تواجه فرق DevSecOps المسؤولة عن دمج الأمن السيبراني داخل دورة تطوير البرمجيات. فمع اعتماد المؤسسات بصورة متزايدة على الأتمتة وخطوط النشر المستمر، أصبحت منصات مثل GitLab جزءًا أساسيًا من البنية التحتية التقنية، وهو ما يجعل أي ثغرة فيها ذات تأثير واسع النطاق.
ويؤكد خبراء الأمن أن الثغرات المرتبطة بمكونات CI/CD تعد من أخطر أنواع الثغرات الحديثة، نظرًا لأن استغلالها قد يمنح المهاجمين إمكانية الوصول إلى الشيفرات المصدرية وسرقة الأسرار الرقمية ومفاتيح الوصول، بل وربما السيطرة على أنظمة الإنتاج نفسها.
وتكتسب هذه الثغرة أهمية مضاعفة في ظل التوجه المتسارع نحو تطوير التطبيقات السحابية واستخدام البنى المؤتمتة بالكامل، حيث أصبحت خطوط التكامل المستمر هدفًا مفضلًا للمجموعات الإجرامية والجهات المتقدمة المدعومة من الدول الساعية إلى تنفيذ هجمات على سلاسل التوريد البرمجية.
حادثة جديدة بعد ثغرة خطيرة في بوابة الذكاء الاصطناعي
يأتي هذا الإعلان بعد أسابيع فقط من معالجة GitLab لثغرة حرجة أخرى في مكون AI Gateway، حملت المعرف CVE-2026-90970 وسجلت درجة خطورة بلغت 9.9 من 10.
وكانت تلك الثغرة تسمح لمستخدم مصادق عليه يمتلك إمكانية الوصول إلى منصة Duo Agent Platform بالهروب من بيئة عزل قوالب الأوامر «Prompt Template Sandbox» عبر إعدادات تدفق مُعدّة خصيصًا، بما يؤدي إلى تنفيذ أوامر عشوائية على بوابة الذكاء الاصطناعي.
ويشير تتابع اكتشاف هذه الثغرات الحرجة خلال فترة زمنية قصيرة إلى تصاعد الاهتمام الأمني بمنصات التطوير الحديثة والأدوات المعتمدة على الذكاء الاصطناعي، خصوصًا مع تنامي دورها في إدارة دورة حياة البرمجيات داخل المؤسسات الكبرى.
كما يبرز الحادث أهمية تطبيق سياسات إدارة الثغرات بصورة استباقية والاعتماد على برامج التحديث المستمر، إذ إن التأخر في تثبيت التصحيحات الأمنية الخاصة بمنصات التطوير قد يمنح المهاجمين نافذة زمنية كافية لتنفيذ هجمات واسعة النطاق تستهدف البنية البرمجية للمؤسسات وسلاسل التوريد الرقمية الخاصة بها.
