סוכן Claude של Duo ב-GitLab היה יכול להריץ פקודות שרירותיות ב-CI. איש לא הראה שנעשה בו שימוש.

GitLab פרסמה מהדורות מתוקנות ב-26 באוגוסט 2026 עבור חולשה בחומרה גבוהה בסוכן Duo Claude AI, הסוכן מבוסס Claude שאותו ממקם ייעוץ האבטחה של GitLab בהקשר CI. תחת המזהה CVE-2026-18252, הבאג איפשר למשתמש מאומת בעל תפקיד Developer לגרום להרצת פקודות שרירותיות בתוך משימת CI, משום שהסוכן עיבד תצורה ממקור שנשלט על ידי משתמש בלי לאמת מהיכן היא הגיעה. GitLab דירגה אותו 7.3 בסולם CVSS 3.1 והגדירה את הטווח המושפע ל-GitLab Enterprise Edition: גרסאות 18.9 עד אך לא כולל 19.1.7, 19.2 עד 19.2.5, ו-19.3 עד 19.3.1. GitLab.com כבר הריץ את הקוד המתוקן, וללקוחות GitLab Dedicated נאמר שלא לנקוט כל פעולה. אף מקור שנסקר עבור מאמר זה אינו מדווח שמישהו ניצל אותה, ולא פורסם PoC במקורות פתוחים. הרשומה של הארכיון עצמו לאירוע זה, עם דירוגי החומרה והמהימנות שלה, נמצאת ב-Orca AI Incident Archive, לצד הרשומות השכנות מאותו שבוע.

מה אומרת הודעת הייעוץ, ומה היא משאירה בחוץ

המסמך העיקרי קצר. הערות עדכון התיקון של GitLab עבור 19.3.1, 19.2.5 ו-19.1.7, שפורסמו באותו יום, מפרטות שבעה תיקוני אבטחה. הראשון, המסומן בדרגה High, נושא את הכותרת "בעיית הכללת פונקציונליות מתחום שליטה שאינו מהימן בסוכן Duo Claude AI משפיעה על GitLab EE", ותיאורו הפרוזאי מסתכם במשפט אחד. GitLab אומרת כי "תיקנה בעיה שבה, בתנאים מסוימים, משתמש מאומת בעל הרשאות בתפקיד Developer היה יכול להריץ פקודות שרירותיות בהקשר של CI, עקב כך שסוכן Claude עיבד תצורה ממקור שנשלט בידי המשתמש". זהו כל התיאור הטכני שהספק פרסם.

רשומת ה-CVE, שאותה הקצתה GitLab בעצמה, מוסיפה מבנה ולא מהות. היא מסווגת את החולשה כ-CWE-829, חוזרת על הטווחים המושפעים ועל ציון ה-CVSS 7.3, ומציינת שהמזהה הוקצה ב-29 ביולי 2026 ופורסם ב-26 באוגוסט בשעה 13:36 UTC. דוח הבאג-באונטי ש-GitLab מזכה בו, דוח HackerOne 3863650, החזיר 403 לבקשה לא מאומתת ב-29 באוקטובר 2026, ולכן הפרטים הטכניים שלו אינם פומביים, ופריט המעקב שרושמת ה-CVE מקשרת כאסמכתא שלה — פריט העבודה gitlab-org/gitlab 607342 — לא הכיל תוכן גיליון קריא בבדיקה האמורה.

מה שהייעוץ אינו אומר הוא החלק שמגן היה רוצה. הוא אינו נוקב בשם תכונת Duo המעורבת, בשדה התצורה שהסוכן קורא, או בצורה שבה מקור בשליטת המשתמש מופיע — בין אם מדובר בקובץ מאגר, במשתנה pipeline, בהערה ב-issue או ב-merge request, או בפרמטר API. אף אחד מאלה אינו מצוין בהערות של GitLab, ברשומת ה-CVE, או בסיקור המקצועי שנסקר עבור מאמר זה. תיעוד המוצר של GitLab אכן מתאר נתיב אחד של Claude אל תוך CI: סוכנים חיצוניים, אשר לפי התיעוד מריצים pipeline של CI/CD כאשר מזכירים אותם ב-issue, ב-epic או ב-merge request, ואשר עבורם קיימת דוגמת תצורה של Claude Code. שום דבר מבין החומרים שנסקרו אינו קושר את הנתיב הזה ל-CVE-2026-18252. זהו הקשר לשאלה מדוע לסוכן Claude יש הרשאות CI מלכתחילה, ולא המנגנון של הבאג.

התיעוד אותו מתעדכן גלוי גם לגבי סוג הסיכון. בעמוד הסוכנים החיצוניים של GitLab מופיעות פגיעויות מסוג הזרקת פרומפטים בין הסיכונים שלקוחות מקבלים על עצמם כאשר הם מפעילים את התכונה, והוא מתאר את סריקת הפרומפטים של צד שלישי שהיא מיישמת כאמצעי מיתון. העמוד הזה אינו מזכיר את CVE-2026-18252, והאזהרה אינה תיאור שלו. עם זאת, הוא כן מראה שקלט לא מהימן שמגיע לסוכן עם גישה ל-pipeline הוא סיכון שהתיעוד של GitLab עצמו כבר מבקש מהלקוחות לקבל על עצמם.

הקשר של ה-CI הוא המקום שבו נמצאים פרטי הגישה

הביטוי שנושא את חומרת העניין הוא "בהקשר של CI". משימת pipeline אינה ארגז חול צעצועי; היא פועלת עם טוקן runner ועם כל סודות שהפרויקט חשף בפניה. Cyber Security News, שדיווח על התיקון ב-27 באוגוסט 2026, מפרט למה משימות כאלה מגיעות בדרך כלל — קוד מקור, תוצרי build, אישורי פריסה, טוקנים של ענן ואישורי מאגר חבילות — ומציין שהרצת פקודות ב-pipeline עלולה לחשוף משתני CI, לשנות תוצרי build, לפגוע בתהליכי שחרור, או להגיע רחוק יותר אל תוך תשתיות מחוברות, בהתאם לתצורת ה-runner ולהיקף הטוקן. הכתבה של GBHackers באותו יום משתמשת באותה מסגור. אף אחד משני האתרים אינו מדווח על מקרה שבו זה קרה.

הבחנה זו מעצבת את האופן שבו יש לקרוא את הפגם. זהו באג של הרצת פקודות ברכיב סוכני, ולא הדגמה של מודל שמתנהג שלא כשורה: התיעוד מתאר תצורה שנלקחה ממקור בשליטת המשתמש והסוכן שפועל לפיה. אף מקור שנבחן אינו מתאר את הניצול כהזרקת פרומפט מוצלחת, וההודעה של GitLab אינה מייחסת את התוצאה לשיקול דעת של מודל. החולשה המתועדת היא קוד שנותן אמון במקור תצורה שאסור לו לתת בו אמון — CWE-829, הכללת פונקציונליות מתחום שליטה לא מהימן.

שני ציוני CVSS ושלב אינטראקציה אחד

הציון 7.3 של GitLab אינו הציון היחיד שמשויך למזהה. באותה רשומת NVD, ההערכה העיקרית של NIST היא 8.1. שני הווקטורים זהים פרט לרכיב אחד: GitLab מסמן אינטראקציית משתמש כנדרשת, ו-NIST לא. שני הציונים נמצאים ברצועת High, ולכן ההבדל המעשי הוא פחות בשאלת החומרה ויותר בתנאים שבהם הבאג מופעל. CERT Santé, צוות התגובה לחירום מחשבי של משרד הבריאות הצרפתי, פרסם התראה ב-27 באוגוסט 2026 שעוקבת אחר פרשנות GitLab — 7.3, אינטראקציית משתמש נדרשת, וטריגר המתואר כאינטראקציה שמפעילה את עיבוד התצורה.

אותות הניצול שקטים, וכל אחד מהם הוא קריאה של הרשומה ולא טלמטריה. הערכת SSVC שתפקיד המתאם של CISA אחסן ברשומת NVD ב-26 באוגוסט 2026 רושמת ניצול כ"ללא", ניתנות לאוטומציה כ"לא" והשפעה טכנית כ"כוללת". מודל EPSS של FIRST הציב את הסתברות הניצול על 0.00519, מעט יותר מחצי אחוז, ב-28 באוקטובר 2026, באחוזון ה-44 של חולשות שקיבלו ציון. הרשומה של OpenCVE נושאת את אותו ערך EPSS ומציינת את ה-CVE כנעדר מקטלוג Known Exploited Vulnerabilities של CISA. ברשומת ההתראה של CERT Santé נכתב "ניצול פעיל: לא", ומוסיפה שלא הייתה קיימת הוכחת היתכנות במקורות פתוחים באותו תאריך. דבר מכל זה אינו ראיה שאיש לא ניסה; זהו היעדר של כל ניסיון מתועד.

לפחות אגרגטור אחד, Mallory, מפיץ ציון של 8.7 עבור אותו מזהה. ברשומה של NVD אין כלל מדד CVSS 4.0 — רק 7.3 של GitLab ו-8.1 של NIST — ולכן אין אפשרות לשחזר נתון זה מאף מקור צד ראשון שנבדק, והוא אינו משמש כאן.

מה מבוסס, ומה לא

הארכיון מדרג את הרשומה הזו בדירוג ביטחון A, לא שנויה במחלוקת, ללא נזק ממשי מתועד. לדירוג הזה יש תפקיד של ממש כאן: המסמכים תואמים זה לזה, ואף אחד מהם אינו מתאר נזק. הפיצול שלהלן הוא החלק שתמצית בת שורה אחת אינה יכולה לשאת.

• אומת: פגם בסוכן ה-AI Duo Claude איפשר לתפקיד Developer מאומת להריץ פקודות שרירותיות בהקשר CI, מכיוון שהסוכן עיבד תצורה ממקור הנשלט על ידי משתמש. GitLab הקצתה CWE-829 ו-CVSS 7.3.

• נקבעו: הטווחים המושפעים והתיקון — 18.9 עד 19.1.7, 19.2 עד 19.2.5, 19.3 עד 19.3.1, תוקנו ב-26 באוגוסט 2026 בגרסאות 19.1.7, 19.2.5 ו-19.3.1. הפגיעות רשומה נגד GitLab EE; באותה מהדורה תוקנה גם CE, בשל פגם אחר.

• נקבע: ניתן הקרדיט על הדיווח ל-thwin_htet דרך תוכנית HackerOne של GitLab, וכן הסטטוס התפעולי ש-GitLab מסרה ללקוחות — GitLab.com כבר תוקנה, GitLab Dedicated מחוץ לתחום הפעולה הנדרשת, והתקנות בניהול עצמי קיבלו הוראה לשדרג מיידית.

• נקבע: לא דווח על ניצול. הערכת SSVC של CISA קובעת שאין ניצול; EPSS נשאר מתחת לאחוז אחד עד סוף אוקטובר 2026; ה-CVE אינו בקטלוג KEV לפי OpenCVE; CERT Santé לא תיעד ניצול פעיל ביום שלאחר החשיפה.

• מיוחס, לא אושר על ידי הספק: תיאורי ההשפעה — סודות קריאים, ארטיפקטים ניתנים לשינוי, מהדורות ניתנות לחבלה — הם תיאור הסיקור של מה שטווח ההרשאות של טוקן של משימת CI מאפשר בדרך כלל, ולא ממצא שדבר מזה התרחש במקרה זה. Cyber Security News ו-GBHackers שניהם מנסחים אותם עם "could" ו-"depending on"; אף אחד מהם אינו מדווח על מקרה כזה.

• לא נקבע:איזו תכונה של Duo ואיזה שדה תצורה היו מעורבים, ומה היה למעשה המקור הנשלט על ידי המשתמש. הצהרת הספק אינה מזהה אותם.

• לא הוברר: כמה התקנות Enterprise בניהול עצמי היו על הטווחים המושפעים, כמה שדרגו לאחר 26 באוגוסט 2026, או האם כלשהו הותקף. אף מקור שנבדק לא מודד אימוץ, והספק לא פרסם שיטת זיהוי עבור מופעים שתוקנו באיחור.

• טרם נקבע: המנגנון הטכני. לפי כלל 90 הימים של GitLab, הנושא יהפוך לציבורי בסביבות סוף נובמבר 2026; עד אז, פריט המעקב המקושר הוא הפניה להסבר שעדיין אינו קיים בציבור.

התיקון, זמן ההשבתה, וההמתנה של 90 יום

GitLab שחררה את 19.3.1, 19.2.5 ו-19.1.7 הן ל-Community Edition והן ל-Enterprise Edition ב-{{1}}26 באוגוסט 2026{{/1}}, ואמרה שהיא {{2}}ממליצה בחום{{/2}} שכל התקנות בניהול עצמי יעודכנו לאחת מהגרסאות הללו באופן מיידי. החלק של Community Edition בשחרור חשוב משום שפגם אחר באותה אצווה — {{3}}CVE-2026-77801{{/3}}, בעיית מניעת שירות בצינורות ייבוא בדירוג 6.5 — משפיע גם על CE וגם על EE. CVE-2026-18252 עצמו נרשם נגד Enterprise Edition בלבד.

אין פתרון עוקף מטעם הספק. ההתראה של CERT Santé מתעדת שאין פתרון עוקף, וההערות של GitLab אינן מציעות כזה; הפתרון היחיד המוצהר הוא השדרוג. גם המהדורה אינה תחליף ישיר. היא כוללת העברות מסד נתונים שגרתיות בכל שלוש הגרסאות והעברות לאחר פריסה ב-19.3.1 וב-19.2.5, שלדברי GitLab יגרמו להשבתה בהתקנות של צומת בודד בזמן השלמת ההעברות. פריסות מרובות צמתים יכולות להשתמש בהליך השדרוג ללא השבתה של GitLab.

ששת התיקונים האחרים כדאי להעיף בהם מבט, מפני שאחד מהם קרוב לנושא של רשומה זו. CVE-2026-15387, בדירוג 4.3 ותוקן באותן שלוש גרסאות, איפשר למשתמש מאומת עם הרשאות תפקיד מפתח להשפיע על סביבת ההפעלה של משימות אכיפה של Pipeline Execution Policy באמצעות טיפול לא תקין בתלויות משימות. שני נתיבים בתפקיד מפתח אל הפעלת משימות, אחד בדירוג High ואחד Medium, נסגרו באותו תיקון.

מדיניות החשיפה של GitLab מסבירה מדוע המנגנון נשאר אטום. בהערות התיקון שלה נאמר כי הנושאים המפרטים כל פגיעות מפורסמים במערכת מעקב הנושאים 90 יום לאחר הגרסה שבה תוקנו. אם סופרים מ־26 באוגוסט 2026, הדבר ממקם את הניתוח הטכני של CVE-2026-18252 בשבוע האחרון של נובמבר 2026. עד אז, להפניה במערכת מעקב הנושאים ברשומת ה-CVE אין מאחוריה ניתוח טכני פומבי שהמאמר הזה יוכל לקרוא.

היכן זה עומד לעומת פגם הסוכן האחר של GitLab

GitLab חשפה ב-2 באוקטובר 2026 פגיעות שנייה ונפרדת הקשורה לסוכנים: CVE-2026-90970, בדירוג 9.9, ב-AI Gateway ולא בסוכן ה-AI של Duo Claude, וניתנת לניצול דרך תבנית פרומפט זרימה מעוצבת ולא דרך תצורת CI. מדובר בשני באגים שונים ברכיבים שונים עם דירוגים שונים, והארכיון מחזיק אותם כרשומות נפרדות. מה שמשותף להן הוא הצורה — רכיב AI בנתיב האספקה שפועל על פי תצורה שמשתמש בעל הרשאות נמוכות יותר יכול להשפיע עליה — וזו הסיבה שכדאי לקרוא את זה של אוקטובר לצד זה ולא במקומו.

עבור מפעיל, ההחלטה מצומצמת. בדוק את הגרסה: 19.1.7, 19.2.5 ו-19.3.1 הן הגרסאות המתוקנות, וכל דבר באחד משלושת הטווחים הנקובים מושפע. אין מעקף להפעלה בינתיים, ועד סוף נובמבר לא פורסם תיאור טכני שאפשר לבחון מולו מופע שתוקן באיחור. מה שקיים הוא רשומה שבה איש לא דיווח על ניצול — וזו אמירה על היעדר ראיות, לא הבטחה של הספק שלא אירעה פריצה.