دو RCE بحرانی در regex CI/CD گیت‌لب؛ CVSS ۹.۹ و پچ فوری برای self-managed

برای تیم‌های لینوکس و DevOps که GitLab را خودمیزبان می‌کنند، CI/CD فقط «بیلد» نیست؛ کنترل‌پلن کد، runner و secretهاست. ۲۳ سپتامبر ۲۰۲۶ گیت‌لب در patch release ۱۹.۴.۱ سه شاخه را همزمان جلو آورد: CE/EE ۱۹.۴.۱، ۱۹.۳.۳ و ۱۹.۲.۷. تیتر این بسته دو آسیب‌پذیری Critical با مسیر مشترک است: پردازش regex در کانفیگ CI/CD.

CVE-2026-89078 و CVE-2026-93577

CVE-2026-89078 یک double-free در parser regex است. وقتی عبارت منظم specially crafted داخل کانفیگ CI/CD پارس شود، مهاجم authenticated می‌تواند به اجرای کد دلخواه روی سرور GitLab برسد. امتیاز اعلام‌شده CVSS ۹.۹ است.

CVE-2026-93577 همان مسیر اثر را با integer overflow در regex compiler تکرار می‌کند؛ باز هم authenticated arbitrary code execution روی سرور و باز هم CVSS ۹.۹. جزئیات فنی هر دو برای ۹۰ روز محدود مانده؛ گیت‌لب عمداً عمق exploit را عمومی نکرده است.

بازه آسیب‌پذیر صریح است: CE/EE از ۱۹.۲ قبل از ۱۹.۲.۷، ۱۹.۳ قبل از ۱۹.۳.۳، و ۱۹.۴ قبل از ۱۹.۴.۱. پوشش لینوکس‌سکیوریتی هم روی همین دو Critical تمرکز کرده است.

چرا self-managed عجله دارد

GitLab.com از قبل پچ شده. Dedicated معمولاً خارج از صف ارتقای شماست. مشکل مال instanceهایی است که خودتان نگه می‌دارید: اگر کسی با دسترسی معتبر بتواند کانفیگ CI/CD حاوی regex مخرب بفرستد، فاصله تا کنترل سرور کوتاه می‌شود. runnerها و متغیرهای محافظت‌شده دقیقاً پشت همین کنترل‌پلن نشسته‌اند.

همان ریلیز XSS و مسائل احراز هویت با شدت پایین‌تر هم دارد؛ برای اولویت عملیاتی، دو Critical بالا کافی‌اند تا صف ارتقا را جابه‌جا کنند. هدف نسخه: ۱۹.۴.۱ یا ۱۹.۳.۳ یا ۱۹.۲.۷ — و بعد از ارتقا، لاگ pipeline و تغییرات .gitlab-ci.yml روزهای اخیر را جدا مرور کنید.