گیت‌لب ساعاتی قبل، برای یک آسیب‌پذیری با شدیدترین نمره ممکن، یعنی ۱۰ از ۱۰ در مقیاس CVSS، وصله امنیتی منتشر کرد. این نقص به مهاجم اجازه می‌دهد بدون داشتن حساب کاربری و بدون نیاز به کلیک کسی، روی سرور گیت‌لب کد دلخواه خود را اجرا کند. اگر گیت‌لب را روی سرور خودتان نصب کرده‌اید، این خبر مستقیماً به شما مربوط است.
چه اتفاقی افتاده است؟
این نقص که با شناسه CVE-2026-110264 ثبت شده. به گفته گیت‌لب، در شرایط خاص یک کاربر احراز هویت‌نشده می‌تواند با ارسال یک عبارت منظم دستکاری‌شده، روی سرور کد اجرا کند؛ یعنی نه رمز عبور لازم است، نه حساب کاربری و نه همکاری قربانی.
نکته نگران‌کننده، دامنه نسخه‌های آسیب‌پذیر است: همه نسخه‌های رایگان (Community Edition) و سازمانی (Enterprise Edition) گیت‌لب از نسخه ۷.۰ که سال ۲۰۱۴ منتشر شد تا پیش از وصله‌های دیروز، این نقص را دارند. به عبارت دیگر، این کد دوازده سال روی سرورها بوده است.
این نقص را یک پژوهشگر امنیتی از طریق برنامه باگ‌بانتی گیت‌لب گزارش کرده است. گیت‌لب فعلاً از سوءاستفاده فعال از آن خبر نداده و طبق روال معمول خود، جزئیات فنی کامل را حدود ۹۰ روز بعد منتشر می‌کند؛ اما تجربه نقص‌های مشابه نشان می‌دهد که معمولاً پس از انتشار وصله، مهاجمان با مقایسه کد قدیم و جدید راه سوءاستفاده را پیدا می‌کنند و فرصت زیادی برای تعلل نیست.
چرا این خبر برای ما مهم است؟
کاربران سرویس ابری GitLab.com نیازی به انجام کاری ندارند؛ گیت‌لب می‌گوید سرویس ابری و سرویس GitLab Dedicated از قبل وصله شده‌اند. مشکل اصلی نسخه‌های «خودمیزبان» (Self-Managed) است، یعنی جایی که یک شرکت یا تیم، گیت‌لب را روی سرور خودش نصب کرده است.
این دقیقاً وضعیت بسیاری از شرکت‌ها، استارتاپ‌ها و تیم‌های نرم‌افزاری ایرانی است که به‌دلیل محدودیت‌های تحریمی به GitLab.com دسترسی ندارند و نسخه رایگان گیت‌لب را روی سرور داخلی یا سرور اجاره‌ای خود راه‌اندازی کرده‌اند. روی این سرورها معمولاً کد منبع محصولات، کلیدها و رمزهای دسترسی، توکن‌های CI/CD و گاهی راه دسترسی به سرورهای اصلی شرکت نگهداری می‌شود. اجرای کد روی چنین سروری می‌تواند به معنی سرقت کد، نشت اطلاعات مشتریان یا نفوذ به بقیه زیرساخت شرکت باشد.
اگر سرورتان را ۲۰ مهر (۱۲ اکتبر) برای نقص قبلی گیت‌لب با شناسه CVE-2026-97229 به‌روزرسانی کرده‌اید، همچنان آسیب‌پذیر هستید؛ آن وصله این نقص را برطرف نمی‌کند.
چه باید کرد؟
گیت‌لب توصیه کرده نصب‌های خودمیزبان هرچه سریع‌تر به یکی از این نسخه‌های اصلاح‌شده ارتقا پیدا کنند:
- ۱۹.۵.۱
- ۱۹.۴.۳
- ۱۹.۳.۶
- ۱۹.۲.۹
- ۱۹.۱.۹
- ۱۹.۰.۱۰
- ۱۸.۱۱.۱۳
اگر نسخه شما قدیمی‌تر از ۱۸.۱۱ است، گیت‌لب برای آن وصله‌ای منتشر نکرده و باید ابتدا به یکی از شاخه‌های پشتیبانی‌شده ارتقا دهید. پیش از ارتقا این موارد را در نظر بگیرید:
- نسخه فعلی را بررسی کنید: شماره نسخه در بخش Help (راهنما) پنل گیت‌لب دیده می‌شود
- پیش از ارتقا نسخه پشتیبان کامل بگیرید: این به‌روزرسانی شامل تغییر در پایگاه داده است و در نصب‌های تک‌سروری، سرویس چند دقیقه از دسترس خارج می‌شود
- بعد از ارتقا لاگ‌ها را بررسی کنید: گیت‌لب دو راهنمای تشخیص با نام‌های «Onigmo native worker crash» و «Org mode render error burst» برای شناسایی تلاش‌های نفوذ منتشر کرده است
- در صورت مشاهده نشانه نفوذ، سرور را آلوده فرض کنید: همه توکن‌ها، کلیدهای SSH و رمزهای ذخیره‌شده روی سرور را تغییر دهید
این دومین هشدار بزرگ این هفته برای مدیران سرور است. روز گذشته هم تیم PHP برای دو آسیب‌پذیری بحرانی در PHP وصله منتشر کرد؛ نقص‌هایی با نمره ۹.۲ که به گفته کاشفان آن‌ها با کمک مدل‌های هوش مصنوعی پیدا شده‌اند و گزارش‌ها نشان می‌دهد سوءاستفاده از آن‌ها در دنیای واقعی آغاز شده است. اگر مسئول سروری هستید، این هفته وقت به‌روزرسانی است.
آدرس مطلب: https://nooshdaroo.ir/news-opinion/gitlab-cvss-10-rce-cve-2026-110264/
