انتشار پچ بحرانی خارج از برنامه معمول
گیت‌لب در 17 آگوست 2026 یک پچ امنیتی بحرانی منتشر کرد که خارج از برنامه معمول این شرکت برای انتشار به‌روزرسانی‌های ماهانه بود. این شرکت معمولاً پچ‌های خود را در دومین و چهارمین چهارشنبه هر ماه منتشر می‌کند؛ با این حال، پچ بحرانی جدید تنها پنج روز پس از آخرین پچ معمول منتشر شد؛ در پچ قبلی هیچ آسیب‌پذیری با شدت بحرانی وجود نداشت.
برای رفع این آسیب‌پذیری، فقط کاربران نصب‌های مدیریت‌شده توسط خود سازمان (Self-Managed) نیاز به اقدام دارند. پچ‌های امنیتی برای نسخه‌های زیر منتشر شده‌اند:
- 2.4
- 1.6
- 0.8
- 11.11
این شرکت اعلام کرده است که GitLab.com و GitLab Dedicated از پیش به نسخه پچ‌شده مجهز هستند و کاربران این دو سرویس نیازی به انجام اقدام دیگری ندارند.
نسخه‌های آسیب‌پذیر گیت‌لب و شرایط سوءاستفاده از آسیب‌پذیری
نسخه‌های زیر تحت تأثیر این آسیب‌پذیری قرار دارند:
- تمام نسخه‌های 18.2 تا پیش از 18.11.11
- نسخه‌های 19.0 پیش از 19.0.8
- نسخه‌های 19.1 پیش از 19.1.6
- نسخه‌های 19.2 پیش از 19.2.4
با این حال، برای شاخه‌های 18.2 تا 18.10 پچ امنیتی منتشر نشده و این نسخه‌ها همچنان آسیب‌پذیر هستند. بنابراین، کاربران این شاخه‌ها باید گیت‌لب را به یکی از نسخه‌های پشتیبانی‌شده و پچ‌شده به‌روزرسانی کنند.
گیت‌لب اعلام کرده است که این آسیب‌پذیری در شرایط خاص به کاربران بدون احراز هویت امکان می‌داد با استفاده از یک دستورالعمل GraphQL، پروژه‌های عمومی و داده‌های کاربران را از راه دور تغییر داده یا حذف کنند.
بردار CVSS این آسیب‌پذیری نشان می‌دهد که حمله از طریق شبکه قابل انجام است و مهاجم برای اجرای آن نیازی به احراز هویت ندارد. همچنین، موفقیت حمله به هیچ‌گونه تعامل یا اقدامی از سوی کاربر قربانی نیاز ندارد. این شرکت نام دستورالعمل GraphQL مرتبط با این آسیب‌پذیری را اعلام نکرده و جزئیات لازم برای سوءاستفاده از آن را نیز منتشر نکرده است.
در اطلاعیه امنیتی نیز هیچ موردی از سوءاستفاده از این آسیب‌پذیری یا آسیب‌پذیری دوم گزارش نشده است. همچنین تا 18 آگوست 2026، هیچ کد اکسپلویت عمومی برای این دو آسیب‌پذیری در گیت‌هاب(GitHub) منتشر نشده بود.
آسیب‌پذیری دوم گیت‌لب با شناسه CVE-2026-19650
در این پچ امنیتی، آسیب‌پذیری دیگری با شناسه CVE-2026-19650 نیز برطرف شده است. گیت‌لب شدت این آسیب‌پذیری را بالا (High) اعلام کرده و امتیاز 7.1 در CVSS به آن اختصاص داده است.
این آسیب‌پذیری ناشی از یک ضعف جعل درخواست بین‌سایتی (Cross-Site Request Forgery – CSRF) در پردازش کوئری‌های چندگانه GraphQL (GraphQL Multiplex Query Handler) است.
سوءاستفاده از این آسیب‌پذیری به تعامل کاربر نیاز دارد و بدون اقدام کاربر امکان اجرای حمله وجود ندارد. این شرکت اعلام کرده است که این آسیب‌پذیری در شرایط خاص، اجرای عملیات تغییر (Mutation) از طریق درخواست‌های GET را برای کاربران بدون احراز هویت امکان‌پذیر می‌کرد. علت این ضعف، اعتبارسنجی نادرست درخواست‌ها هنگام پردازش کوئری‌های چندگانه GraphQL بوده است.
این به‌روزرسانی بدون نیاز به ایجاد تغییرات جدید در پایگاه داده ارائه شده و نصب آن در استقرارهای چندنودی (Multi-Node Deployments) نیز بدون توقف سرویس یا به عبارتی داون‌تایم (Downtime) انجام می‌شود.
انتشار این پچ در شرایطی انجام شده است که در جولای 2026، پژوهشگران برای یک آسیب‌پذیری جداگانه در سرورهای تحت مدیریت سازمان (Self-Managed)، کد اکسپلویت عملیاتی منتشر کرده بودند.
گیت‌لب اعلام کرده است که جزئیات فنی هر آسیب‌پذیری را 90 روز پس از انتشار پچ اصلاحی، در سامانه Issue Tracker خود در دسترس عموم قرار می‌دهد. این شرکت در پچ منتشرشده در 10 ژوئن 2026، این بازه را از 90 روز به 30 روز کاهش داده بود. بر اساس این زمان‌بندی، جزئیات فنی هر دو آسیب‌پذیری احتمالاً در حدود اواسط نوامبر 2026 منتشر خواهند شد.
