غياب هذه العلامة يعني أنه إذا سمى المهاجم فرعه بشيء مثل --exec='malicious command'، فإن النظام سيتعامل مع اسم الفرع على أنه أمر يجب تنفيذه. إن علامة --exec مصممة أصلاً لتنفيذ أمر بعد كل عملية إعادة تأسيس، والنتيجة هي تنفيذ كامل للأوامر على نظام التشغيل بصلاحيات مستخدم خدمة Gogs .

تفاصيل الاختراق في لمحة:

• الصلاحيات المطلوبة: أي حساب مستخدم عادي مسجل، لا حاجة لصلاحيات المدير .
• طريقة الهجوم: طلب سحب مصمم خصيصاً باسم فرع خبيث .
• الحمولة: يحقن المهاجم الأمر --exec متبوعاً بالأمر الذي يريد تنفيذه .
• الإصدارات المتأثرة: أحدث الإصدارات، Gogs 0.14.2 و 0.15.0+dev، مؤكدة التأثر .
• الحالة: لا يوجد تحديث. الثغرة لم تحصل على معرف CVE حتى تاريخ الكشف العلني في 27 مايو 2026 .

الباحث الأمني جونا بورغيس من Rapid7 Labs الذي اكتشف الثغرة شرح الآلية بوضوح: 'تسمح الثغرة لأي مستخدم مسجل بتحقيق تنفيذ أوامر عن بُعد (RCE) على الخادم عن طريق إنشاء طلب سحب باسم فرع خبيث يحقن خيار --exec في git rebase.'

أزمة متوقعة: تاريخ طويل من الصمت المريب

لمن تابعوا مشروع Gogs، هذه الثغرة ليست مفاجأة على الإطلاق. إنها أحدث وأخطر مثال على نمط متكرر منذ سنوات: تقارير أمنية حرجة تقابل بالصمت من المطور الرئيسي والوحيد للمشروع.

الجدول الزمني للإهمال موثق جيداً:

• يوليو/تموز 2024 (SonarSource): كشف باحثون عن أربع ثغرات غير مصححة في Gogs، بنقاط CVSS حرجة تصل إلى 9.9. بعد قبولهم المبدئي للتقرير، توقف المطور عن التواصل ولم تصدر أي تحديثات .
• نوفمبر/تشرين الثاني 2024 (باحث مستقل): تم الإبلاغ عن ثغرة RCE أخرى غير مصححة (CVE-2024-44625) وتم تجاهلها بالكامل، في تكرار لتجربة SonarSource السابقة .
• ديسمبر/كانون الأول 2025 (Wiz Research): تم اكتشاف ثغرة يوم-صفر (CVE-2025-8110) تُستَغل بنشاط في الواقع. أدى ذلك إلى اختراق أكثر من 700 خادم متصل بالإنترنت وتحذير عاجل من وكالة الأمن السيبراني الأمريكية (CISA) التي أضافتها إلى قائمة الثغرات المستغلة .
• مايو/أيار 2026 (NVD/SentinelOne): تم حجز معرف CVE-2026-26194 لثغرة حقن أوامر جديدة في وظيفة حذف الإصدارات، مما يضيف المزيد من المشاكل لقائمة طويلة .

هذا التاريخ جعل أحدث كشف علني من Rapid7 أكثر من مجرد تحذير أمني. كما علق أحد المحللين، أصبح الوضع 'تذكيراً بالقيود التي تواجهها المشاريع مفتوحة المصدر' عندما تعتمد كلياً على مطور واحد غير مستجيب .

خط دفاعك الآن: ماذا تفعل لحماية خادم Gogs؟

بما أن الرقعة البرمجية (Patch) غير متوفرة، يجب على مدراء الأنظمة الاعتماد على تغييرات في الإعدادات لحماية خوادمهم. الخطوات التالية توقف التهديد المباشر.

1. تعطيل 'Rebase before merging' فوراً
هذا هو الإجراء الأكثر فعالية على الإطلاق. سلسلة الهجوم بأكملها تعتمد على خيار الدمج هذا تحديداً. قم بتغيير إعدادات المستودع أو الإعدادات العامة للمنصة إلى 'Merge commit' أو 'Squash' لتجنب الكود المصاب .

2. تقييد الوصول الشبكي
الهجوم يتطلب الوولج عبر HTTP بمستخدم مسجل. إذا كان خادم Gogs لا يحتاج أن يكون عاماً، انقله خلف شبكة VPN أو جدار ناري يسمح فقط للمستخدمين الموثوقين. هذا يزيل المنصة من رادارات المسح الجماعي على الإنترنت.

3. تضييق صلاحيات التسجيل
بما أن أي شخص بحساب يمكنه استغلال الثغرة، قلل عدد الحسابات إلى الحد الأدنى. عطّل التسجيل الذاتي واجعل الموافقة على الحسابات يدوية. قم الآن بمراجعة قائمة المستخدمين وأوقف أي حسابات غير نشطة أو مجهولة .

4. مراقبة طلبات السحب المشبوهة
راقب أسماء الفروع في طلبات السحب بحثاً عن رموز استثنائية، مثل الشَرطتين (--)، الفاصلة المنقوطة، أو أوامر مثل exec، curl، أو wget. اسم فرع غير طبيعي هو دليل قوي على محاولة اختراق .

5. خطط للخروج طويل الأمد من Gogs
نظراً للنمط الموثق للثغرات الحرجة غير المصححة، الاستمرار في استخدام Gogs بات مخاطرة استراتيجية. البديل الأكثر واقعية هو Gitea، وهو تفرع مجتمعي من Gogs يدار من قبل فريق من المطورين المستجيبين والنشطين. بالنسبة للفرق التي اختارت Gogs تحديداً لخفته وسهولة استضافته، فإن Gitea هو البديل الأقرب الذي يحل مشكلة الاعتماد على مطور واحد .

6. استعد للتحديث (إذا جاء)
ابقَ مشتركاً في صفحة الأمان الرسمية لـ Gogs وإصدارات GitHub. إذا صدر تحديث في أي وقت، قم بالترقية فوراً. ولكن خطط لوضعك الأمني على افتراض أن هذا النمط سيتكرر، وأن ثغرة حرجة قادمة ستبقى بلا تحديث لأشهر مرة أخرى.

غياب هذه العلامة يعني أنه إذا سمى المهاجم فرعه بشيء مثل --exec='malicious command'، فإن النظام سيتعامل مع اسم الفرع على أنه أمر يجب تنفيذه. إن علامة --exec مصممة أصلاً لتنفيذ أمر بعد كل عملية إعادة تأسيس، والنتيجة هي تنفيذ كامل للأوامر على نظام التشغيل بصلاحيات مستخدم خدمة Gogs .

تفاصيل الاختراق في لمحة:

• الصلاحيات المطلوبة: أي حساب مستخدم عادي مسجل، لا حاجة لصلاحيات المدير .
• طريقة الهجوم: طلب سحب مصمم خصيصاً باسم فرع خبيث .
• الحمولة: يحقن المهاجم الأمر --exec متبوعاً بالأمر الذي يريد تنفيذه .
• الإصدارات المتأثرة: أحدث الإصدارات، Gogs 0.14.2 و 0.15.0+dev، مؤكدة التأثر .
• الحالة: لا يوجد تحديث. الثغرة لم تحصل على معرف CVE حتى تاريخ الكشف العلني في 27 مايو 2026 .

الباحث الأمني جونا بورغيس من Rapid7 Labs الذي اكتشف الثغرة شرح الآلية بوضوح: 'تسمح الثغرة لأي مستخدم مسجل بتحقيق تنفيذ أوامر عن بُعد (RCE) على الخادم عن طريق إنشاء طلب سحب باسم فرع خبيث يحقن خيار --exec في git rebase.'

أزمة متوقعة: تاريخ طويل من الصمت المريب

لمن تابعوا مشروع Gogs، هذه الثغرة ليست مفاجأة على الإطلاق. إنها أحدث وأخطر مثال على نمط متكرر منذ سنوات: تقارير أمنية حرجة تقابل بالصمت من المطور الرئيسي والوحيد للمشروع.

الجدول الزمني للإهمال موثق جيداً:

• يوليو/تموز 2024 (SonarSource): كشف باحثون عن أربع ثغرات غير مصححة في Gogs، بنقاط CVSS حرجة تصل إلى 9.9. بعد قبولهم المبدئي للتقرير، توقف المطور عن التواصل ولم تصدر أي تحديثات .
• نوفمبر/تشرين الثاني 2024 (باحث مستقل): تم الإبلاغ عن ثغرة RCE أخرى غير مصححة (CVE-2024-44625) وتم تجاهلها بالكامل، في تكرار لتجربة SonarSource السابقة .
• ديسمبر/كانون الأول 2025 (Wiz Research): تم اكتشاف ثغرة يوم-صفر (CVE-2025-8110) تُستَغل بنشاط في الواقع. أدى ذلك إلى اختراق أكثر من 700 خادم متصل بالإنترنت وتحذير عاجل من وكالة الأمن السيبراني الأمريكية (CISA) التي أضافتها إلى قائمة الثغرات المستغلة .
• مايو/أيار 2026 (NVD/SentinelOne): تم حجز معرف CVE-2026-26194 لثغرة حقن أوامر جديدة في وظيفة حذف الإصدارات، مما يضيف المزيد من المشاكل لقائمة طويلة .

هذا التاريخ جعل أحدث كشف علني من Rapid7 أكثر من مجرد تحذير أمني. كما علق أحد المحللين، أصبح الوضع 'تذكيراً بالقيود التي تواجهها المشاريع مفتوحة المصدر' عندما تعتمد كلياً على مطور واحد غير مستجيب .

خط دفاعك الآن: ماذا تفعل لحماية خادم Gogs؟

بما أن الرقعة البرمجية (Patch) غير متوفرة، يجب على مدراء الأنظمة الاعتماد على تغييرات في الإعدادات لحماية خوادمهم. الخطوات التالية توقف التهديد المباشر.

1. تعطيل 'Rebase before merging' فوراً
هذا هو الإجراء الأكثر فعالية على الإطلاق. سلسلة الهجوم بأكملها تعتمد على خيار الدمج هذا تحديداً. قم بتغيير إعدادات المستودع أو الإعدادات العامة للمنصة إلى 'Merge commit' أو 'Squash' لتجنب الكود المصاب .

2. تقييد الوصول الشبكي
الهجوم يتطلب الوولج عبر HTTP بمستخدم مسجل. إذا كان خادم Gogs لا يحتاج أن يكون عاماً، انقله خلف شبكة VPN أو جدار ناري يسمح فقط للمستخدمين الموثوقين. هذا يزيل المنصة من رادارات المسح الجماعي على الإنترنت.

3. تضييق صلاحيات التسجيل
بما أن أي شخص بحساب يمكنه استغلال الثغرة، قلل عدد الحسابات إلى الحد الأدنى. عطّل التسجيل الذاتي واجعل الموافقة على الحسابات يدوية. قم الآن بمراجعة قائمة المستخدمين وأوقف أي حسابات غير نشطة أو مجهولة .

4. مراقبة طلبات السحب المشبوهة
راقب أسماء الفروع في طلبات السحب بحثاً عن رموز استثنائية، مثل الشَرطتين (--)، الفاصلة المنقوطة، أو أوامر مثل exec، curl، أو wget. اسم فرع غير طبيعي هو دليل قوي على محاولة اختراق .

5. خطط للخروج طويل الأمد من Gogs
نظراً للنمط الموثق للثغرات الحرجة غير المصححة، الاستمرار في استخدام Gogs بات مخاطرة استراتيجية. البديل الأكثر واقعية هو Gitea، وهو تفرع مجتمعي من Gogs يدار من قبل فريق من المطورين المستجيبين والنشطين. بالنسبة للفرق التي اختارت Gogs تحديداً لخفته وسهولة استضافته، فإن Gitea هو البديل الأقرب الذي يحل مشكلة الاعتماد على مطور واحد .

6. استعد للتحديث (إذا جاء)
ابقَ مشتركاً في صفحة الأمان الرسمية لـ Gogs وإصدارات GitHub. إذا صدر تحديث في أي وقت، قم بالترقية فوراً. ولكن خطط لوضعك الأمني على افتراض أن هذا النمط سيتكرر، وأن ثغرة حرجة قادمة ستبقى بلا تحديث لأشهر مرة أخرى.