كان بإمكان وكيل Duo Claude Agent التابع لـGitLab تشغيل أوامر اعتباطية في CI. لم يُظهر أحد أنه تم استخدامه.

أصدرت GitLab إصدارات مصححة في 26 أغسطس 2026 لثغرة عالية الخطورة في وكيل Duo Claude AI، الوكيل القائم على Claude الذي تورد الاستشارة الأمنية لـ GitLab ذكره ضمن سياق CI. ومُتعقبة تحت CVE-2026-18252، مكّنت الثغرة مستخدمًا موثّقًا يحمل دور Developer من تنفيذ أوامر اعتباطية داخل مهمة CI، لأن الوكيل عالج إعدادات من مصدر يتحكم فيه المستخدم دون التحقق من مصدرها. صنفت GitLab الثغرة عند 7.3 على مقياس CVSS 3.1 وحددت نطاق الإصدارات المتأثرة بـ GitLab Enterprise Edition: الإصدارات 18.9 حتى 19.1.7 دون تضمين الأخير، و19.2 حتى 19.2.5، و19.3 حتى 19.3.1. وكان GitLab.com يشغّل الكود المُصحح بالفعل، وأُبلغ عملاء GitLab Dedicated بعدم اتخاذ أي إجراء. ولم يذكر أي مصدر تمت مراجعته لهذا المقال أن أي جهة استغلت الثغرة، ولم يُنشر أي إثبات مفهوم في المصادر المفتوحة. ويوجد مدخل الأرشيف الخاص بهذا الحادث، مع درجات الخطورة والثقة الخاصة به، في Orca AI Incident Archive، إلى جانب السجلات المجاورة من الأسبوع نفسه.

ما يقوله التنبيه، وما يغفله

الوثيقة الأساسية قصيرة. إذ تسرد ملاحظات إصدار التصحيح من GitLab للإصدارات 19.3.1 و19.2.5 و19.1.7، التي نُشرت في اليوم نفسه، سبعة إصلاحات أمنية. الأول، المصنّف بدرجة عالية، عنوانه "مشكلة إدراج وظائف من نطاق تحكم غير موثوق في وكيل Duo Claude AI تؤثر على GitLab EE"، ويقتصر وصفه النثري على جملة واحدة. وتقول GitLab إنها "عالجت مشكلة كان بموجبها مستخدم موثّق لديه أذونات دور المطوّر يمكن أن ينفّذ أوامر تعسفية في سياق CI، بسبب قيام وكيل Claude بمعالجة إعدادات من مصدر يتحكم فيه المستخدم". وهذا هو الوصف التقني الكامل الذي نشرته الجهة المصنّعة.

سجل CVE، الذي عيّنته GitLab بنفسها، يضيف هيكلةً لا مضمونًا. فهو يصنّف الضعف بوصفه CWE-829، ويكرّر النطاقات المتأثرة ودرجة CVSS 7.3، ويسجّل أن المعرّف حُجز في 29 يوليو 2026 ونُشر في 26 أغسطس الساعة 13:36 UTC. أما تقرير مكافأة الأخطاء الذي تنسب إليه GitLab الفضل، وهو تقرير HackerOne رقم 3863650، فقد أعاد 403 عند جلب غير مُصادَق عليه في 29 أكتوبر 2026، لذا فإن تفاصيله التقنية ليست علنية، كما أن عنصر التتبّع الذي يربطه سجل CVE كمرجع له — عنصر عمل gitlab-org/gitlab 607342 — لم يحمل محتوى مشكلة قابلًا للقراءة عند ذلك الفحص.

ما لا يقوله التنبيه هو الجزء الذي يرغب المدافع في معرفته. فهو لا يسمّي ميزة Duo المعنية، ولا حقل الإعدادات الذي يقرأه الوكيل، ولا الشكل الذي يتخذه المصدر الخاضع لتحكم المستخدم — سواء أكان ملف مستودع، أو متغيّرًا في خط أنابيب، أو تعليقًا على مشكلة أو طلب دمج، أو معاملًا في واجهة برمجة تطبيقات. لا شيء من ذلك مذكور في ملاحظات GitLab، ولا في سجل CVE، ولا في التغطية الإعلامية المتخصصة التي روجعت لهذا المقال. توثيق منتج GitLab يصف بالفعل مسارًا واحدًا لـ Claude إلى CI: الوكلاء الخارجيون، الذين يقول التوثيق إنهم يشغّلون خط أنابيب CI/CD عند ذكرهم في مشكلة أو ملحمة أو طلب دمج، ويوجد لهم مثال لإعدادات Claude Code. لا شيء مما روجع يربط ذلك المسار بـ CVE-2026-18252. وهو سياق يفسّر سبب امتلاك وكيل Claude لصلاحيات CI أصلًا، لا آلية العيب.

تتناول الوثائق نفسها فئة المخاطر هذه بصراحة. فصفحة الوكلاء الخارجيين لدى GitLab تُدرج ثغرات حقن التوجيهات ضمن المخاطر التي يقبلها العملاء عند تفعيل الميزة، وتصف فحص التوجيهات الذي تنفذه بواسطة طرف ثالث بأنه إجراء تخفيف. ولا تذكر تلك الصفحة CVE-2026-18252، كما أن التحذير ليس وصفًا له. لكنها تُظهر أن وصول مدخلات غير موثوقة إلى وكيل يملك صلاحية الوصول إلى خط الأنابيب يُعد خطرًا سبق أن طلبت وثائق GitLab نفسها من العملاء قبوله.

سياق CI هو المكان الذي توجد فيه بيانات الاعتماد.

العبارة التي تحمل درجة الخطورة هي «في سياق CI». فوظيفة خط الأنابيب ليست بيئة معزولة للهو؛ بل تعمل برمز مُشغّل وبأي أسرار عرّضها لها المشروع. ويسرد تقرير Cyber Security News عن التصحيح في 27 أغسطس 2026 ما تصل إليه هذه الوظائف عادةً — الشيفرة المصدرية ومخرجات البناء وبيانات اعتماد النشر ورموز السحابة وبيانات اعتماد مستودعات الحزم — ويشير إلى أن تنفيذ الأوامر في خط أنابيب قد يكشف متغيرات CI، أو يعدّل مخرجات البناء، أو يتلاعب بسير عمل الإصدارات، أو يتوغل أكثر في البنية التحتية المتصلة، حسب إعدادات المُشغّل ونطاق الرمز. ويستخدم مقال GBHackers في اليوم نفسه الصياغة نفسها. ولا يُفيد أيٌّ من الموقعين بوقوع حالة حدث فيها ذلك.

هذا التمييز يشكّل كيفية قراءة العيب. هذا خلل في تنفيذ الأوامر داخل مكوّن وكيلي، وليس برهانًا على سوء سلوك نموذج: يصف السجل إعدادات مأخوذة من مصدر يتحكم فيه المستخدم، وتصرّف الوكيل بناءً عليها. لا يصف أي مصدر جرى مراجعته الاستغلال بأنه حقن مطالبات ناجح، كما أن تنبيه GitLab لا يعزو النتيجة قط إلى حكم النموذج. الضعف المسجّل هو شيفرة تثق بمصدر إعدادات لا ينبغي لها الوثوق به — CWE-829، إدراج وظائف من نطاق تحكم غير موثوق.

درجتا CVSS وخطوة تفاعل واحدة

إن درجة 7.3 الخاصة بـ GitLab ليست الدرجة الوحيدة المرتبطة بالمعرّف. ففي السجل نفسه لدى NVD، يبلغ التقييم الأساسي لدى NIST 8.1. والمتجهان متطابقان باستثناء مكوّن واحد: إذ يعدّ GitLab تفاعل المستخدم مطلوبًا، بينما لا يعدّه NIST كذلك. وتقع الدرجتان معًا ضمن النطاق العالي، لذا فإن الفرق العملي يتعلق أقل بشدة الخطورة وأكثر بالظروف التي ينشط فيها العيب. وقد نشرت CERT Santé، وهي فريق الاستجابة لحالات الطوارئ الحاسوبية التابع لوزارة الصحة الفرنسية، تنبيهًا في 27 أغسطس 2026 يتبع قراءة GitLab — 7.3، مع اشتراط تفاعل المستخدم، ومحفّز موصوف بأنه تفاعل يُطلق معالجة التكوين.

إن إشارات الاستغلال خافتة، وكل واحدة منها قراءةٌ للسجل لا بيانات قياسٍ عن بُعد. ويسجّل تقييم SSVC الذي خزّنه دور المنسّق في CISA في مدخل NVD بتاريخ 26 أغسطس 2026 الاستغلال بوصفه "لا شيء"، والأتمتة بوصفها "لا"، والأثر التقني بوصفه "كليًا". وقد قدّر نموذج EPSS الخاص بـ FIRST احتمالية الاستغلال بـ 0.00519، أي ما يزيد قليلًا على نصف بالمئة، في 28 أكتوبر 2026، ضمن المئين 44 من الثغرات المُقيَّمة. ويحمل سجل OpenCVE الرقم نفسه لـ EPSS، ويُدرج CVE بوصفه غائبًا عن كتالوج الثغرات المستغَلّة المعروفة لدى CISA. وتسجّل نشرة CERT Santé أن "الاستغلال النشط: لا"، وتضيف أنه لم يكن ثمة إثبات مفهوم متاح في المصادر المفتوحة في ذلك التاريخ. وليس في ذلك كله دليل على أن أحدًا لم يحاول؛ بل هو غياب لأي محاولة مسجّلة.

يتداول مُجمِّع واحد على الأقل، وهو Mallory، درجة 8.7 للمُعرِّف نفسه. ولا يتضمن سجل NVD أي مقياس CVSS 4.0 على الإطلاق — فقط 7.3 الخاصة بـ GitLab و8.1 الخاصة بـ NIST — لذا لا يمكن إعادة إنتاج ذلك الرقم من أي مصدر أولي تمت مراجعته، وهو غير مستخدم هنا.

ما هو ثابت، وما هو غير ثابت

يصنّف الأرشيف هذا المدخل بدرجة ثقة A، غير متنازع عليه، ودون تسجيل أي ضرر حقيقي. هذه الدرجة تؤدي دورًا حقيقيًا هنا: فالوثائق متوافقة فيما بينها، ولا تصف أيٌّ منها ضررًا. والانقسام أدناه هو الجزء الذي لا يستطيع ملخّص من سطر واحد حمله.

• تم تحديد: ثغرة في وكيل Duo Claude AI سمحت لدور Developer الموثّق بتنفيذ أوامر اعتباطية في سياق CI، لأن الوكيل عالج إعدادات من مصدر يتحكم فيه المستخدم. أسندت GitLab CWE-829 وCVSS 7.3.

• المحدد: النطاقات المتأثرة والإصلاح — 18.9 حتى 19.1.7، و19.2 حتى 19.2.5، و19.3 حتى 19.3.1، وتمت المعالجة في 26 أغسطس 2026 في 19.1.7 و19.2.5 و19.3.1. الثغرة مسجلة ضد GitLab EE؛ كما عالج الإصدار نفسه CE، بسبب عيب مختلف.

• تقرَّر: منح فضل الإبلاغ إلى thwin_htet عبر برنامج HackerOne الخاص بـ GitLab، والحالة التشغيلية التي أبلغت بها GitLab عملاءها — GitLab.com تم ترقيعه بالفعل، وGitLab Dedicated خارج نطاق الإجراء المطلوب، والتركيبات ذاتية الإدارة طُلب منها الترقية فورًا.

• مؤكد:لم يُبلَّغ عن أي استغلال. ويقول تقييم SSVC الخاص بـ CISA إنه لا يوجد أي استغلال؛ وظل EPSS دون واحد بالمئة حتى أواخر أكتوبر 2026؛ ولا يرد CVE في كتالوج KEV وفقًا لـ OpenCVE؛ ولم يسجّل CERT Santé أي استغلال نشط في اليوم التالي للإفصاح.

• منسوب، ولم يؤكده المورّد: إن أوصاف الأثر — إمكانية قراءة الأسرار، وتعديل المخرجات، والتلاعب بالإصدارات — هي رواية التغطية لما يسمح به نطاق رمز مهمة CI عمومًا، وليست نتيجة تفيد بأن أيًا من ذلك قد حدث في هذه الحالة. وتصوغها كل من Cyber Security News وGBHackers بصيغة "could" و"depending on"؛ ولا يورد أي منهما واقعة بهذا الشأن.

• لم يُثبت: أي ميزة من Duo وأي حقل إعداد كانا معنيين، وما كان المصدر الخاضع لتحكم المستخدم في الواقع. ولا يحددهما بيان المورّد.

• لم يُحدَّد: كم عدد تثبيتات Enterprise ذاتية الإدارة التي كانت ضمن النطاقات المتأثرة، وكم منها جرى ترقيتها بعد 26 أغسطس 2026، أو ما إذا كان أي منها قد تعرّض لهجوم. لا يقيس أي مصدر تمت مراجعته معدل الاعتماد، ولم ينشر البائع أي طريقة اكتشاف للحالات التي جرى ترقيعها متأخرًا.

• لم يُحدَّد بعد: الآلية التقنية. بموجب قاعدة GitLab ذات الـ90 يومًا، تصبح المسألة علنية حوالي أواخر نوفمبر 2026؛ وحتى ذلك الحين، فإن عنصر التتبع المرتبط ليس سوى إشارة إلى شرح لا يوجد بعد علنًا.

الإصلاح، ووقت التوقف، والانتظار لمدة 90 يومًا

أصدرت GitLab الإصدارات 19.3.1 و19.2.5 و19.1.7 لكل من Community Edition وEnterprise Edition في 26 أغسطس 2026، وقالت إنها توصي بشدة بترقية جميع عمليات التثبيت ذاتية الإدارة إلى أحد تلك الإصدارات فورًا. ويكتسب جزء Community Edition من الإصدار أهميةً لأن ثغرة أخرى في الدفعة نفسها — CVE-2026-77801، وهي مشكلة حجب خدمة في خطوط أنابيب الاستيراد بتقييم 6.5 — تؤثر على CE إلى جانب EE. أما CVE-2026-18252 نفسها فمسجّلة على Enterprise Edition فقط.

لا يوجد حل بديل من المورّد. يسجّل تنبيه CERT Santé أنه لا يوجد أي حل بديل، ولا تقدّم ملاحظات GitLab أي حل؛ والعلاج الوحيد المذكور هو الترقية. كما أن الإصدار ليس تحديثًا جاهزًا للاستبدال المباشر. فهو يشمل ترحيلات قاعدة بيانات اعتيادية على الإصدارات الثلاثة جميعها، وترحيلات ما بعد النشر على 19.3.1 و19.2.5، وهو ما تقول GitLab إنه سيسبب توقفًا في منشآت العقدة الواحدة أثناء إتمام الترحيلات. ويمكن لعمليات النشر متعددة العُقد استخدام إجراء الترقية دون توقف من GitLab.

تستحق الإصلاحات الستة الأخرى إلقاء نظرة سريعة، لأن أحدها قريب من موضوع هذا المدخل. أتاح CVE-2026-15387، بتقييم 4.3 والمُصلَح في الإصدارات الثلاث نفسها، لمستخدم موثّق لديه أذونات دور المطوّر أن يؤثر في بيئة تنفيذ وظائف الإنفاذ الخاصة بـ Pipeline Execution Policy عبر معالجة غير صحيحة لاعتماديات الوظائف. وقد أُغلق مساران للوصول من دور المطوّر إلى تنفيذ الوظائف، أحدهما بتصنيف عالٍ والآخر متوسط، في التصحيح نفسه.

توضح سياسة الإفصاح لدى GitLab سبب بقاء هذه الآلية غامضة. وتنص ملاحظات الإصدار الخاصة بها على أن المشكلات التي تشرح تفاصيل كل ثغرة أمنية تُنشر علنًا على متتبّع المشكلات بعد 90 يومًا من الإصدار الذي تم فيه ترقيعها. وإذا احتسبنا المدة من 26 أغسطس 2026، فإن ذلك يضع التحليل التقني الخاص بـ CVE-2026-18252 في الأسبوع الأخير من نوفمبر 2026. وحتى ذلك الحين، لا توجد خلف الإشارة إلى المتتبّع في سجل CVE أي كتابة تقنية علنية يستطيع هذا المقال قراءتها.

موقع هذا مقارنةً بعيب الوكيل الآخر لدى GitLab

أفصحت GitLab في 2 أكتوبر 2026 عن ثغرة ثانية منفصلة تتعلق بالوكلاء: CVE-2026-90970، بتقييم 9.9، في AI Gateway بدلاً من وكيل Duo Claude AI، ويمكن الوصول إليها عبر قالب مطالبة تدفق مُصمَّم بدلاً من إعدادات CI. الثغرتان مختلفتان في مكوّنين مختلفين وبتقييمين مختلفين، ويحتفظ الأرشيف بهما كمدخلين منفصلين. ما يجمعهما هو الشكل — مكوّن ذكاء اصطناعي في مسار التسليم يتصرف بناءً على إعدادات يمكن لمستخدم أقل امتيازًا التأثير فيها — ولهذا فإن ثغرة أكتوبر تستحق القراءة إلى جانب هذه الثغرة لا بدلاً منها.

بالنسبة إلى المشغّل، القرار محدود. تحقّق من الإصدار: 19.1.7 و19.2.5 و19.3.1 هي الإصدارات المصلّحة، وأي إصدار يقع ضمن النطاقات الثلاثة المذكورة يكون متأثرًا. لا يوجد حل بديل لتشغيله في هذه الأثناء، وحتى أواخر نوفمبر لا يوجد وصف تقني منشور لتدقيق نسخة تم ترقيعها متأخرًا مقارنةً به. ما هو موجود هو سجل لم يبلّغ فيه أحد عن استغلال — وهو بيان عن غياب الدليل، وليس تأكيدًا من المورّد بعدم وقوع اختراق.