دوازدهم اکتبر GitLab نقصی با امتیاز کامل ۱۰ را وصله کرد و آن روز هنوز هیچ حمله‌ای گزارش نشده بود. برای خیلی از تیم‌ها همین یعنی «فرصت داریم». هفده روز بعد، سازمان امنیت سایبری آمریکا (CISA) همین نقص، یعنی CVE-2026-97229، را به فهرست آسیب‌پذیری‌های دارای سوءاستفادهٔ فعال اضافه کرد و فقط سه روز مهلت داد.
مشکل یک سرریز عدد صحیح در کامپایلر عبارت منظم CI/CD است؛ بخشی که الگوهای Regex فایل‌های پیکربندی Pipeline را پردازش می‌کند. به گفتهٔ GitLab، کاربر بدون احراز هویت در شرایط خاص می‌تواند با یک عبارت منظم دستکاری‌شده روی سرور کد اجرا کند. GitLab اکنون تلاش‌های سوءاستفاده را شناسایی کرده و برای نسخه‌های Self-Managed قواعد تشخیص منتشر کرده است.
ریشهٔ نقص در موتور Regexp خود زبان Ruby است. تیم Ruby روز ۲۳ اکتبر نسخه‌های 4.0.9، 3.4.12 و 3.3.13 را منتشر کرد و CISA هشدار داده که محصولات دیگری با همین موتور هم ممکن است آسیب‌پذیر باشند.
ارتقا: نسخه‌های امن GitLab شامل 19.4.2، 19.3.5 و 19.2.8 است؛ بهتر است به آخرین وصلهٔ شاخهٔ خود بروید، چون نقص هم‌خانوادهٔ CVE-2026-110264 در 19.5.1 اصلاح شده است.
محدودسازی موقت: تا زمان ارتقا، دسترسی اینترنتی سرور را به VPN و آدرس‌های شناخته‌شده محدود کنید.
بررسی نفوذ: CISA برای این مورد بررسی جرم‌شناسی را الزامی کرده است. فرایندهای ناشناس، Runner و توکن تازه و اتصال خروجی غیرعادی را بگردید.
چرخش رازها: اگر سرور پیش از وصله روی اینترنت بوده، متغیرهای محرمانه و توکن‌های استقرار را عوض کنید.
برنامه‌های Ruby: هر کدی که از ورودی کاربر عبارت منظم می‌سازد، باید روی نسخهٔ اصلاح‌شدهٔ Ruby برود.
در یکی از ارزیابی‌ها دیدیم سرور GitLab چون «ابزار داخلی تیم توسعه» حساب می‌شد، در هیچ فهرست دارایی و برنامهٔ وصله‌ای نبود؛ در حالی که کلید همهٔ سرورهای تولید در متغیرهایش بود. ابزارهای DevOps سرور حیاتی‌اند و باید مثل فایروال و ایمیل پایش شوند.
نسخهٔ کامل این مطلب همراه با چک‌لیست اقدام در این نشانی منتشر شده است؛ آن را در نوار آدرس مرورگر وارد کنید: symantecland.com/gitlab-cve
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
