CVE-2026-85706: ثغرة حرجة في GitLab تتيح سرقة الملفات دون بيانات اعتماد

CVE-2026-85706: ثغرة حرجة في GitLab تتيح سرقة الملفات دون بيانات اعتماد

باختصار

أكدت GitLab وجود ثغرة حرجة (CVE-2026-85706، بدرجة CVSS 10.0) تتيح لمهاجم دون بيانات اعتماد قراءة ملفات عشوائية من الخادم [1]. وهي مدرجة في كتالوج CISA KEV الخاص بالثغرات المستغلة فعليًا [2]. تؤثر على نسخ GitLab Community و Enterprise Edition [1]. إذا كانت شركتك تستخدم GitLab، فالأولوية اليوم هي تحديد الإصدار المثبت وتطبيق التصحيح المناسب دون تأخير.

ما هي وما أهميتها

تكمن الثغرة في واجهة برمجة التطبيقات (API) الخاصة بعمليات commits في مستودعات GitLab. ووفقًا للوصف الرسمي، فإن خللًا في تقييد المسارات ("path confinement") مقترنًا بغياب التحقق من المصادقة يتيح لمستخدم غير مصادَق عليه الوصول إلى ملفات عشوائية على الخادم عبر تقنيات path traversal [1]. صنّفت NVD هذه الثغرة بخطورة حرجة وبدرجة CVSS 10.0، وهي أعلى درجة ممكنة [1]، مما يعكس إمكانية استغلالها عن بُعد، دون صلاحيات ودون تفاعل من المستخدم، وبتأثير قد يكون كاملًا على سرية البيانات.

صنّف فريق الاستخبارات في OCIRIA هذه الثغرة على أنها "path traversal / وصول إلى الملفات"، ويشير إلى أنها إذ لا تتطلب مصادقة، فإن أي نسخة من GitLab معرّضة للإنترنت تصبح هدفًا مباشرًا: قد يتم كشف الشيفرة المصدرية، وملفات الإعداد التي تحتوي على أسرار، ومتغيرات البيئة، أو بيانات الاعتماد المخزّنة في المستودع، دون ترك أي أثر لوصول مصادَق عليه.

إدراج هذه الثغرة في كتالوج CISA KEV معطى مهم: فهو يعني وجود دلائل على استغلال فعلي في الواقع، وليس مجرد خطر نظري [2].

من المتأثر

تؤثر الثغرة على المؤسسات التي تشغّل نسخًا خاصة بها (self-managed) من GitLab Community Edition (CE) أو Enterprise Edition (EE) [1]. ووفقًا للوصف الرسمي من الشركة المصنّعة، يمتد نطاق الإصدارات المتأثرة من السلسلة 18.7 حتى إصدارات محددة من السلاسل 19.0 و19.1 و19.2 و19.3، ولكل منها الإصدار المصحَّح المقابل [1]. ونظرًا لاتساع هذا النطاق، ينبغي على أي فريق تطوير أو DevOps أو منصة يحافظ على نسخة GitLab محلية (on-premise) أو على بنية تحتية خاصة أن يعتبر نفسه معرضًا للخطر بشكل محتمل إلى أن يتحقق من إصداره الفعلي.

عادةً ما تتلقى المؤسسات التي تستخدم GitLab.com (كخدمة SaaS) المُدارة مباشرة من GitLab التصحيحات بشكل مركزي، لكن يُستحسن التأكد من ذلك مع الفريق المسؤول عن هذا الحساب في حال وجود أي شك بشأن نموذج النشر.

كيف تعرف إن كنت معرضًا للخطر

• حدّد الإصدار الدقيق لـ GitLab CE/EE المنشور لديك (يظهر في لوحة الإدارة أو عبر نقطة النهاية /help).
• قارن هذا الإصدار بالنطاقات المتأثرة التي حددتها الشركة المصنّعة [1]: 18.7–18.11.12، و19.0–19.0.9، و19.1–19.1.8، و19.2–19.2.6، و19.3–19.3.2.
• تحقق مما إذا كانت نسخة GitLab لديك متاحة عبر الإنترنت دون قيود شبكية (VPN، قائمة عناوين IP المسموح بها)، إذ إن الاستغلال لا يتطلب مصادقة.
• كجزء من النظافة الأمنية العامة لمؤسستك، يُستحسن رسم خريطة للأصول والخدمات المعرّضة للإنترنت؛ وقد صُمم رادار السطح الخاص بـ OCIRIA تحديدًا لرصد هذا النوع من التعرض بشكل مستمر.

كيف تحمي نفسك

1. حدّث GitLab فورًا إلى أول إصدار مصحَّح ضمن فرعك (18.11.12، أو 19.0.9، أو 19.1.8، أو 19.2.6، أو 19.3.2، بحسب الحالة) [1].

2. قيّد الوصول الشبكي إلى النسخة أثناء إتمام التحديث: اقتصر على عناوين IP الموثوقة أو شبكة VPN الخاصة بالشركة.

3. راجع سجلات الوصول إلى واجهة برمجة تطبيقات commits خلال الفترة التي كانت فيها نسختك على إصدار متأثر، بحثًا عن أنماط path traversal أو وصول غير اعتيادي دون مصادقة.

4. قم بتدوير بيانات الاعتماد والأسرار التي قد تكون مخزّنة في المستودعات أو ملفات الإعداد التي يمكن الوصول إليها، كإجراء احترازي في مواجهة احتمال التعرض.

5. امنح هذا التصحيح الأولوية على غيره من التصحيحات المعلّقة: فاجتماع درجة CVSS 10.0 مع الإدراج في CISA KEV يشير إلى أقصى درجات الخطورة ووجود استغلال معروف [1][2].

الأسئلة الشائعة

هل يجب أن أكون مصادَقًا عليّ لأتعرض للهجوم؟ لا. تتيح الثغرة الوصول لمهاجم دون بيانات اعتماد، مما يجعلها خطيرة بشكل خاص [1].

هل هناك دليل على استغلالها فعليًا؟ نعم، الثغرة مدرجة في كتالوج CISA KEV، الذي يجمع الثغرات ذات الاستغلال الفعلي المؤكد [2].

هل تؤثر أيضًا على GitLab.com؟ يشير الوصف الرسمي إلى نسخ GitLab CE/EE؛ إذا كنت تستخدم GitLab.com كخدمة مُدارة، تأكد من مزوّدك بشأن حالة التصحيح.

هل يكفي التحديث أم يجب اتخاذ إجراءات إضافية؟ التحديث هو الخطوة التي لا غنى عنها، ولكن نظرًا لخطر تعرض الملفات خلال الفترة التي كانت فيها النسخة عرضة للاستغلال، فإن مراجعة السجلات وتدوير بيانات الاعتماد الحساسة يُعد احتياطًا معقولًا.

المصادر

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-85706
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json