מי שעדכן את שרת ה-GitLab של החברה ב-12 באוקטובר עשה בדיוק את הדבר הנכון, ובכל זאת צריך לעדכן שוב. התיקון מאותו יום כיסה רק את גרסאות 19.2 ומעלה, והגרסאות שתוקנו ב-21 באוקטובר יושבות מדרגה אחת מעליהן. מי שנשאר עם מה שהותקן אז נמצא שוב בטווח, הפעם של חולשה שקיבלה את הציון המקסימלי.

מה קרה

החולשה מסומנת CVE-2026-110264, והציון שלה בסולם CVSS הוא 10.0, הגבוה ביותר שיש. לפי הודעת התיקון הרשמית של GitLab, הפלטפורמה שבה חברות שומרות את קוד המקור שלהן ומריצות את תהליכי הבנייה וההפצה, תוקף שאינו מחובר כלל לשרת יכול בתנאים מסוימים להריץ עליו קוד משלו. מהם התנאים האלה החברה לא פירטה, ולכן מנהל מערכת לא יכול לעבור על ההגדרות שלו ולהסיק שהוא מחוץ לסכנה.

הרכיב שנכשל הוא זה שמתרגם ביטויי חיפוש, אותן תבניות שמאפשרות לחפש "כל מה שנראה כמו כתובת מייל" במקום מילה מסוימת אחת. למנוע הזה קוראים Onigmo, הוא מגיע משפת רובי, ו-GitLab אורזת אותו בתוך החבילות שהיא מפיצה. ביטוי שנבנה במיוחד מגלגל מונה בתוך המנוע מעבר לגודל שהוקצה לו, ומשם מגיעה הרצת הקוד. אותו מנוע נשלח בכל גרסה של GitLab מאז 7.0 שיצאה ב-2014, וזאת הסיבה שהטווח הוא 12 שנים של גרסאות.

GitLab תיקנה שבע גרסאות במקביל, וארבע מהן, 18.11.13, 19.0.10, 19.1.9 ו-19.2.9, כבר אינן בתמיכה השוטפת של החברה. (זאת הפעם הרביעית החודש שאותו חוקר, שחותם joaxcar, מדווח על חולשת הרצת קוד באותו מנוע, והראשונה שמגיעה גם לגרסאות שמתחת ל-19.2.) לפי GitLab אין עדות לכך שהחולשה נוצלה בפועל, והיא לא נכנסה לרשימת החולשות המנוצלות של רשות הסייבר האמריקאית CISA.

למה זה חשוב לכם

האתר GitLab.com והשירות המנוהל GitLab Dedicated כבר מעודכנים, כך שכל הסיפור נוגע להתקנות שארגונים מריצים על שרתים משל עצמם, ויש כאלה בשפע בחברות ובאוניברסיטאות בישראל. שרת כזה מחזיק את קוד המקור, ולא פעם גם מפתחות גישה, סיסמאות לבסיסי נתונים וכל מה שדרוש כדי להעלות גרסה חדשה לאוויר. תוקף שמריץ שם קוד לא לוקח רק קבצים. הוא מקבל את המקום שממנו המוצר נבנה.

מה עושים?

אם בארגון שלכם יש שרת GitLab עצמאי, בקשו מצוות ה-IT לבדוק את מספר הגרסה ולעדכן לאחת מאלה: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 או 18.11.13.

אם העדכון האחרון אצלכם נעשה ב-12 באוקטובר, הוא לא מכסה את החולשה הזאת וצריך לעדכן שוב.

אין הגדרה או עקיפה שמנטרלת את הבעיה בלי התיקון עצמו, כך שאין טעם להמתין לחלון תחזוקה רחוק.

מי שעובד מול GitLab.com או מול GitLab Dedicated לא צריך לעשות דבר.

ארבע חולשות הרצת קוד באותו מנוע בחודש אחד הן סימן שכדאי להיערך לחמישית.