جزئیات فنی آسیب‌پذیری گیت‌لب و نسخه‌های دارای پچ امنیتی
آسیب‌پذیری CVE-2026-110264 ناشی از ضعف سرریز عدد صحیح (Integer Overflow) در کامپایلر عبارات منظم است. این کامپایلر در پس‌زمینه، عبارات منظم موجود در فایل‌های پیکربندی را تجزیه و اعتبارسنجی می‌کند.
گیت‌لب برای رفع این آسیب‌پذیری، پچ‌های امنیتی را برای نسخه‌های زیر از Community Edition (CE) و Enterprise Edition (EE) منتشر کرده است:
- 5.1
- 4.3
- 3.6
- 2.9
- 1.9
- 0.10
- 11.13
این شرکت از کاربران خواسته است در اسرع وقت با نصب پچ امنیتی، نمونه‌های نصب‌شده خود را به نسخه‌های ایمن به‌روزرسانی کنند. گیت‌لب در اطلاعیه خود اعلام کرده است که این آسیب‌پذیری در شرایط خاص می‌تواند به مهاجمان بدون نیاز به احراز هویت اجازه دهد با سوءاستفاده از سرریز عدد صحیح هنگام کامپایل یک عبارت منظم دست‌کاری‌شده، کد دلخواه خود را روی سرور اجرا کنند.
همچنین این شرکت تأکید کرده است که تمام نمونه‌های نصب‌شده‌ای که از نسخه‌های آسیب‌پذیر استفاده می‌کنند، باید در اسرع وقت به آخرین نسخه به‌روزرسانی شوند. بر اساس اطلاعیه منتشرشده، سرویس GitLab.com پیش‌تر به نسخه دارای پچ امنیتی به‌روزرسانی شده است. همچنین، مشتریان سرویس GitLab Dedicated که از نسخه‌های 19.3.5-internal0، 19.4.2-internal0 یا نسخه‌های جدیدتر استفاده می‌کنند، پچ‌های لازم را دریافت کرده‌اند و نیازی به انجام اقدام دیگری ندارند.
بیش از 2700 نمونه در دسترس از طریق اینترنت
سامانه Shadowserver که تهدیدات سایبری در اینترنت را رصد می‌کند، بیش از 2700 نمونه از گیت‌لب در نسخه Community Edition (CE) را شناسایی کرده است که از طریق اینترنت در دسترس هستند. بااین‌حال، مشخص نیست چه تعداد از این نمونه‌ها هانی‌پات (Honeypots) هستند و چه تعداد پیش‌تر در برابر حملات ایمن شده‌اند. بنابراین، این آمار به‌تنهایی نشان نمی‌دهد چه تعداد از این نمونه‌ها همچنان تحت تأثیر این آسیب‌پذیری قرار دارند.
سابقه آسیب‌پذیری‌های بحرانی گیت‌لب
این هشدار در حالی منتشر شده است که گیت‌لب تنها 10 روز پیش از شناسایی یک آسیب‌پذیری بحرانی دیگر در کامپایلر عبارات منظم CI/CD خبر داده بود. این آسیب‌پذیری با شناسه CVE-2026-97229 و امتیاز کامل 10 از 10 در سامانه CVSS، امکان اجرای کد از راه دور (RCE) را فراهم می‌کرد. این مورد نیز توسط joaxcar گزارش شده بود.
ماه گذشته، یک آسیب‌پذیری بحرانی دیگر با شناسه CVE-2026-85706 در نسخه‌های Community Edition (CE) و Enterprise Edition (EE) برطرف شد. این ضعف امنیتی به مهاجمان اجازه می‌داد بدون نیاز به احراز هویت، اطلاعات حساس از جمله اعتبارنامه‌ها و سایر داده‌های محرمانه را از سرورهای آسیب‌پذیر استخراج کنند.
آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) یک روز پس از انتشار پچ این آسیب‌پذیری، آن را به فهرست KEV اضافه کرد. همچنین این آژانس از سازمان‌های فدرال خواست حداکثر ظرف سه روز، سامانه‌های خود را در برابر این تهدید ایمن کنند.
آژانس CISA از نوامبر 2021 تاکنون، پنج آسیب‌پذیری گیت‌لب را در فهرست خود ثبت کرده است که در حملات واقعی مورد سوءاستفاده قرار گرفته‌اند. یکی از این آسیب‌پذیری‌ها نیز در حملات باج‌افزاری مورد سوءاستفاده قرار گرفته است.
پلتفرم DevSecOps گیت‌لب در سراسر جهان بیش از 30 میلیون کاربر ثبت‌شده دارد و بیش از 50 درصد از شرکت‌های حاضر در فهرست Fortune 100 از این پلتفرم استفاده می‌کنند. از جمله این شرکت‌ها می‌توان به انویدیا (Nvidia)، تی‌موبایل (T-Mobile)، لاکهید مارتین (Lockheed Martin)، ایرباس (Airbus) و گلدمن ساکس (Goldman Sachs) اشاره کرد.
