ثغرة GitLab ‏CVE-2026-85706 تُستغل فعلياً: التحديث العاجل للخوادم المُدارة ذاتياً

الإجراء الأول: التحديث فوراً

ثغرة CVE-2026-85706 هي ثغرة اجتياز مسارات بالغة الخطورة في نسخ GitLab Community Edition وEnterprise Edition المُدارة ذاتياً. وتحمل الدرجة القصوى CVSS 3.1: 10.0، وقد تسمح، في ظروف معينة، لمهاجم لا يحتاج إلى مصادقة بقراءة ملفات عشوائية من خادم GitLab. وليست المسألة نظرية: فقد أُدرجت الثغرة لدى وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ضمن كتالوج الثغرات المعروفة الاستغلال، كما رصد باحثون محاولات فحص لخوادم مكشوفة على الإنترنت بعد وقت قصير من إتاحة الإصلاحات. 32122

إذا كانت لديك بيئة GitLab مُدارة ذاتياً ضمن الإصدارات المتأثرة، فحدّثها في أسرع وقت إلى أحد الإصدارات الآتية أو إصدار أحدث:

• 19.1.8
• 19.2.6
• 19.3.2

تشمل الإصدارات المتأثرة من GitLab CE/EE: 18.7 إلى ما قبل 19.1.8، و19.2 إلى ما قبل 19.2.6، و19.3 إلى ما قبل 19.3.2. نُشرت الإصلاحات في 10 سبتمبر 2026. 37

أضافت CISA الثغرة إلى كتالوج KEV في 11 سبتمبر، وحددت 14 سبتمبر موعداً نهائياً لاتخاذ الإجراء لدى الوكالات الفيدرالية المدنية الأمريكية المشمولة. لا يسري هذا الموعد تلقائياً على القطاع الخاص، لكنه مؤشر واضح إلى درجة الاستعجال، ولا سيما للنشر المُدار ذاتياً والمتاح من الإنترنت. 3

ما الذي تفعله الثغرة؟

تقع المشكلة في واجهة برمجة التطبيقات Repository Commits API في GitLab. والسبب الموثق هو عدم تقييد المسارات التي يتحكم بها المستخدم على النحو الصحيح، بالتزامن مع غياب فرض المصادقة. وقد يتيح ذلك لمهاجم غير موثّق قراءة ملفات عشوائية يمكن لخدمة GitLab الوصول إليها. 3

هذه ثغرة كشف ملفات بالأساس. ولا تثبت المعلومات المتاحة أن CVE-2026-85706 وحدها تمنح تنفيذ أوامر برمجية عن بُعد. لكن قراءة الملفات قد تكشف مواد تُستخدم في اختراق لاحق وفق إعداد الخادم، مثل إعدادات التطبيق والرموز المميزة ومفاتيح SSH وبيانات اعتماد قواعد البيانات وأسرار أخرى يمكن لعملية GitLab قراءتها. 925

لماذا يغيّر الاستغلال الفعلي طريقة الاستجابة؟

ذكرت watchTowr أنها رصدت محاولات استغلال في بيئات حقيقية، بما فيها محاولات ظهرت في شبكة مصائدها في 11 سبتمبر. كما أن إدراج CISA للثغرة في كتالوج KEV إشارة مهمة، إذ يختص الكتالوج بالثغرات التي تتوافر أدلة على استغلالها فعلياً. 222

تؤكد التقارير العامة وجود فحص ومحاولات استغلال، لكنها لا تحدد جهة واحدة مسؤولة، ولا تقدم عدداً موثوقاً للضحايا، ولا تثبت سلسلة موحّدة لما بعد الاختراق. لذلك، لا ينبغي اعتبار غياب بلاغ علني عن اختراق دليلاً على أن خادماً مكشوفاً لم يتعرض للمحاولة.

تعامل مع الخوادم المكشوفة كحوادث محتملة لكشف الأسرار

التحديث يوقف السلوك الضعيف، لكنه لا يلغي ما قد يكون المهاجم قد قرأه سابقاً. بالنسبة إلى خادم متأثر ومكشوف على الإنترنت، احتفظ بالأدلة أولاً وقيّم ما الذي كان حساب خدمة GitLab قادراً على الوصول إليه قبل بدء تنظيف واسع النطاق.

أولوية المراجعة والتدوير تشمل:

• أسرار تطبيق GitLab وملفات الإعداد.
• بيانات اعتماد قواعد البيانات وRedis والتخزين الكائني وسجل الحاويات والبريد SMTP وخدمات الدليل وموفري الهوية، إن كانت مخزنة في الإعدادات.
• متغيرات CI/CD، ورموز النشر والوصول، ورموز المشغّلات (runners)، ومفاتيح النشر، وبيانات الاعتماد المركّبة للمهام أو التكاملات.
• مفاتيح السحابة وبيانات اعتماد سجلات الحزم ومفاتيح التوقيع ومفاتيح SSH أو TLS الخاصة التي يمكن للعملية أو للخادم الوصول إليها.

يجب أن يكون تدوير الأسرار مدروساً؛ فتغيير أسرار التطبيق أو إعدادات التشفير قد يبطل الجلسات أو يعطل الإعدادات المشفرة والتكاملات. احتفظ أولاً بالسجلات والإعدادات ذات الصلة، وحدد مسار التعافي، ثم دوّر أعلى بيانات الاعتماد خطراً بتسلسل محكوم.

مؤشرات البحث في السجلات

مؤشر أولي مفيد هو طلب HTTP من نوع POST إلى مسار Repository Commits API:

/api/v4/projects/<id>/repository/commits/

وتنصح التقارير بالبحث تحديداً عن الطلبات التي تحتوي على وسيطة file.path. راجع سجلات الوكيل العكسي وموازن الحمل وWAF وسجلات GitLab Rails للوصول، مع التركيز على الطلبات غير الموثقة وغير المعتادة، ومدخلات مشفرة تشبه اجتياز المسارات، ومعرّفات المشاريع غير المتوقعة، والإخفاقات المتكررة، وأنماط الاستكشاف، وأحجام الاستجابة الشاذة. 212426

افحص أيضاً الأنشطة التي قد تكون مرتبطة بعد نافذة التعرض المحتملة: إنشاء رموز مميزة جديدة أو استخدامها، وتسجيل مشغّلات، وتعديل متغيرات CI/CD أو تعريفات خطوط الأنابيب، وعمليات الاستيراد غير الاعتيادية، ونشاط GraphQL، والاتصالات الصادرة غير المتوقعة. كما تدعو الإرشادات المرتبطة بالإصدار إلى مراجعة الإيداعات واشتراكات GraphQL واستيراد المشاريع وخطوط CI/CD. 23

ولا تعني نتيجة البحث السلبية في السجلات بالضرورة السلامة؛ فقد تكون مدة الاحتفاظ قصيرة، أو لا تسجل التطبيق تفاصيل الطلب ذات الصلة، أو تكون سجلات الوكيل وWAF هي الدليل الوحيد المتاح.

ضوابط مؤقتة عند تعذر التحديث فوراً

التحديث هو المعالجة المطلوبة. وإن تعذر تنفيذ تحديث طارئ فوراً، فقلل التعرض بتقييد الوصول إلى واجهة الويب وAPI الخاصة بـGitLab على شبكة VPN أو شبكات معتمدة فقط. وقد يخفف تقييد مسار Repository Commits API بدقة عبر وكيل عكسي أو WAF من المخاطر مؤقتاً، لكنه قد يعطّل عمليات الأتمتة المشروعة ولا يُعد بديلاً عن التحديث.

التسلسل العملي لكل خادم متأثر هو:

1. حصر الخوادم وتحديد الأولوية، ولا سيما النُسخ المُدارة ذاتياً والمتاحة خارجياً.
2. التحديث إلى 19.1.8 أو 19.2.6 أو 19.3.2 أو إصدار أحدث.
3. التحقق من الإصدار الذي يعمل فعلياً بعد التحديث.
4. حفظ السجلات ومراجعتها بحثاً عن مؤشرات الاستغلال.
5. تدوير الأسرار التي يحتمل تعرضها بحسب مستوى وصول الخادم وأثرها على الأعمال.

ثغرات أخرى عالجها الإصدار نفسه

تضمنت التقارير الأمنية أيضاً مشكلتين في Enterprise Edition عالجهما الإصدار:

• CVE-2026-87719: ثغرة إلغاء تسلسل غير آمن تتطلب مصادقة، بدرجة CVSS تبلغ 9.9، وترتبط في بعض التقارير بكشف إعدادات وبيانات اعتماد Advanced Search. 6
• CVE-2026-88765: خطر تنفيذ أوامر برمجية عن بُعد يتطلب مصادقة، عبر استيراد تصدير مشروع Git مُصاغ خصيصاً، وبدرجة CVSS مُبلغ عنها تبلغ 8.5. 625

تختلف شروط وآثار هاتين الثغرتين عن CVE-2026-85706. لكن ثغرة قراءة الملفات غير الموثقة والمستغلة فعلياً يجب أن تبقى أولوية الاحتواء والاستجابة الأولى لخوادم GitLab المُدارة ذاتياً والمكشوفة.