GitHub تُصلح ثغرة حرجة في git push تؤثر على المستودعات الخاصة

كشفت GitHub عن تفاصيل الثغرة CVE-2026-3854، وهي ثغرة حرجة لتنفيذ التعليمات البرمجية عن بُعد في خط أنابيب git push الخاص بها، والتي كان من الممكن أن تعرض ملايين المستودعات الخاصة للخطر. وفقاً لـ GitHub، تم الإبلاغ عن الخلل من قبل شركة Wiz في 4 مارس، وتم تصحيحه على GitHub.com بعد أقل من ساعتين، مع توفير تصحيحات للمؤسسات متاحة الآن للعملاء الذين يستضيفون خوادمهم بأنفسهم.

تكمن أهمية هذا الأمر في أن المسار المعرض للثغرة يقع في أحد أكثر أجزاء البنية التحتية لـ GitHub حساسية: وهو مسار معالجة التعليمات البرمجية الذي يتعامل مع عمليات push من المطورين. إن وجود خلل هناك لا يُعد مجرد مشكلة أخرى في تطبيقات الويب، بل يخلق طريقاً للوصول إلى الشفرة المصدرية، والأسرار الداخلية، وسلاسل توريد البرمجيات التي تعتمد عليها العديد من الشركات الكبيرة يومياً.

وأوضحت GitHub أن المهاجم الذي يمتلك صلاحية push إلى أي مستودع، بما في ذلك المستودع الذي أنشأه بنفسه، يمكنه استغلال خيارات git push غير المُرشَّحة لحقن بيانات وصفية داخلية موثوقة، ومن ثم تنفيذ أوامر عشوائية في النهاية على الخادم الذي يتعامل مع عملية push. وفي تقريرها الخاص، ذكرت GitHub أن الاستغلال يتطلب أمراً واحداً فقط من أوامر git push المصممة خصيصاً. أما شركة Wiz، التي اكتشف باحثوها المشكلة من خلال برنامج مكافآت الثغرات في GitHub، فقد أشارت إلى أن التأثير على GitHub.com كان يمكن أن يطال ملايين المستودعات العامة والخاصة على عُقد التخزين المشترك المتأثرة.

وأضافت الشركة أن فريقها الداخلي تمكن من إعادة إنتاج المشكلة في غضون 40 دقيقة، ونشر الإصلاح على GitHub.com في اليوم نفسه، ثم أجرى مراجعة جنائية رقمية. وتؤكد GitHub أن هذه المراجعة لم تجد أي دليل على استغلال الثغرة قبل الإفصاح عنها. كما أزال مساراً غير ضروري للشفرة من البيئات المتأثرة كجزء من جهد أوسع لتعزيز الأمان.

أما الخطر التشغيلي المتبقي فيكمن في GitHub Enterprise Server. وقد أصدرت GitHub إصلاحات عبر الإصدارات المدعومة، وتوصي المدراء بالترقية فوراً ومراجعة سجلات التدقيق للبحث عن أي نشاط push مشبوه. وهذا هو الاستنتاج العملي هنا. فعلى الرغم من أن GitHub.com تم تصحيحه بسرعة، إلا أنه لا يزال يتعين على عملاء المؤسسات افتراض أن هذا الأمر يتطلب معالجة عالية الأولوية، لأن أنظمة استضافة الشفرة تكون قريبة جداً من كل شيء آخر في مكدس البرمجيات. وكما أُبرز أولاً في تغطية أوسع بواسطة BleepingComputer وفصّلته GitHub وWiz، كانت هذه ثغرة في البنية التحتية من النوع الذي يمكن أن يحوّل مسار عمل المطور إلى حادث في سلسلة التوريد بسرعة كبيرة.