GitLab RCE Flaw: Researchers ने जारी किया Working Exploit

साल 2021 में Log4j की कमजोरी ने दुनिया भर के सॉफ्टवेयर को हिला दिया था, जहां एक छोटा सा लॉग मैसेज पूरे सर्वर पर कब्जा कर सकता था। अब ठीक उसी तरह, 24 जुलाई 2026 को security researchers ने GitLab की पुरानी गड़बड़ी का working exploit code जारी कर दिया है।

GitLab ने 10 जून 2026 को इस RCE यानी remote code execution flaw को patch कर दिया था, लेकिन depthfirst के researchers ने छह हफ्ते बाद PoC यानी proof of concept code पब्लिश कर दिया। इसका मतलब है कि जो भी भारतीय कंपनियां या डेवलपर्स self-managed GitLab 18.11.3 सर्वर चला रहे हैं और अपडेट नहीं लिया, वे अब खतरे में हैं। कोई भी authenticated user यानी लॉगिन वाला यूजर जो प्रोजेक्ट में push कर सकता है, Jupyter notebook के जरिए कमांड चला सकता है। यह खबर उन लाखों भारतीय डेवलपर्स और आईटी कंपनियों के लिए मायने रखती है जिनके कोड और डेटा एक क्लिक में चोरी हो सकते हैं। आगे यह रिपोर्ट बताएगी कि यह flaw कैसे काम करता है, भारत पर इसका कितना असर है और क्या बचाव संभव है।

GitLab RCE flaw में क्या हुआ

मीडिया सूत्रों के अनुसार researchers ने 24 जुलाई 2026 को working exploit code जारी किया। GitLab ने इस flaw को 10 जून 2026 को ही ठीक कर दिया था, यानी पूरे छह हफ्ते पहले। लेकिन जो self-managed सर्वर यानी खुद के सर्वर पर चलने वाला GitLab 18.11.3 अभी भी पुराना है, उन पर हमला हो सकता है।

हमला बहुत सीधा है। attacker को बस authenticated user यानी सही अकाउंट से लॉगिन होना है। वह एक crafted Jupyter notebook यानी इंटरैक्टिव डॉक्यूमेंट जिसमें कोड, टेक्स्ट और इमेज हो सकते हैं, को commit कर देता है। फिर उस commit diff यानी बदलावों की तुलना खोलते ही exploit ट्रिगर हो जाता है। इससे heap यानी कंप्यूटर की वो मेमोरी जहां डेटा डायनामिक तरीके से स्टोर होता है, लीक हो जाता है। नतीजा यह कि attacker git यूजर के रूप में arbitrary commands यानी कोई भी कमांड चला सकता है। इसका मतलब सर्वर पर पूरा कंट्रोल।

यह PoC किसी भी self-managed GitLab 18.11.3 इंस्टेंस पर काम करता है जो अपडेट नहीं लिया। अधिकारियों ने बताया कि authenticated user जो प्रोजेक्ट में push कर सकता है, बस वही काफी है। कोई खास टूल या अतिरिक्त एक्सेस की जरूरत नहीं। GitLab एक पॉपुलर web-based platform है जो version control और collaborative software development के लिए इस्तेमाल होता है। भारतीय स्टार्टअप्स और बड़ी आईटी कंपनियां अक्सर अपना खुद का वर्जन चलाती हैं ताकि कोड प्राइवेट रहे। लेकिन यही self-managed सेटअप अब कमजोर हो गया है।

असली समस्या क्या है

असली समस्या यह है कि authenticated users on unpatched self-managed GitLab servers arbitrary commands git यूजर के रूप में चला सकते हैं। इससे data breaches या infrastructure compromise का खतरा पैदा हो जाता है। यानी कोई भी लॉगिन वाला व्यक्ति पूरे सर्वर को अपने कब्जे में ले सकता है। यह समस्या इसलिए गंभीर है क्योंकि आजकल सॉफ्टवेयर डेवलपमेंट टीम्स GitLab पर अपना पूरा कोड, डिजाइन और सीक्रेट रखती हैं। अगर सर्वर पर कब्जा हो गया तो सारा प्रोजेक्ट चोरी हो सकता है। भारतीय डेवलपर्स जो घर से या छोटी कंपनियों में काम करते हैं, उनका सालों का मेहनत एक रात में गायब हो सकता है।

इसका मतलब आम आदमी के लिए भी है। कई आईटी कंपनियां इस प्लेटफॉर्म पर काम करती हैं। अगर उनके सर्वर हैक हो गए तो जॉब्स पर असर पड़ सकता है, क्लाइंट डेटा लीक हो सकता है और कंपनी की साख खराब हो सकती है। यही वजह है कि यह खबर सिर्फ टेक लोगों के लिए नहीं बल्कि आम भारतीय युवाओं के भविष्य से जुड़ी है।

आंकड़े क्या कहते हैं

भारत में internet users population का 70.00% (2025) हैं, यानी सात में से सात लोग ऑनलाइन हैं। इसका मतलब है कि सॉफ्टवेयर और कोडिंग से जुड़े काम अब हर घर तक पहुंच गए हैं। लेकिन इतने यूजर्स के बावजूद सिक्योरिटी कमजोर है। देश में secure internet servers per 1M people सिर्फ 1,212.44 (2024) हैं। यानी हर दस लाख लोगों के लिए सिर्फ इतने सुरक्षित सर्वर उपलब्ध हैं। इसका सीधा मतलब है कि भारतीय कंपनियां और स्टार्टअप्स अक्सर पुराने या अपडेट न किए सर्वर पर निर्भर रहते हैं, जिससे GitLab जैसी गड़बड़ियां आसानी से शोषण हो सकती हैं।

R&D spending GDP का 0.65% (2020) ही है। इतना कम निवेश इनोवेशन और सिक्योरिटी टूल्स पर होता है। नतीजा यह कि नए flaws जैसे इस remote code execution की खबर आने पर भी कई जगह अपडेट देर से लगते हैं, जिससे डेटा चोरी का खतरा बढ़ जाता है। जब इतने लोग डिजिटल अर्थव्यवस्था पर निर्भर हैं तो एक GitLab flaw पूरे इकोसिस्टम को हिला सकता है।

यह क्यों हुआ — background

GitLab का self-managed वर्जन इसलिए पॉपुलर है क्योंकि कंपनियां अपना डेटा क्लाउड पर नहीं रखना चाहतीं। लेकिन पुराने वर्जन को अपडेट न करना आम समस्या है। 10 जून को patch आने के बाद भी कई टीमों ने इसे इग्नोर कर दिया। दरअसल, Jupyter notebook जैसी फाइल्स सामान्य लगती हैं। डेवलपर्स रोज इन्हें शेयर करते हैं। लेकिन crafted फाइल में छिपा कोड commit diff खोलते ही heap memory लीक कर देता है। यह पुरानी memory corruption bugs की याद दिलाता है जो Log4j या Heartbleed में भी देखी गई थीं।

एक concrete example लें। कल्पना कीजिए आपका ऑफिस का GitLab सर्वर। कोई जूनियर डेवलपर नया प्रोजेक्ट push करता है। अगर वह attacker है तो बस notebook खोलने भर से पूरा सर्वर उसके कंट्रोल में आ जाता है। git यूजर के अधिकार काफी होते हैं कोड चुराने या बैकडोर लगाने के लिए। यह flaw इसलिए खतरनाक है क्योंकि authenticated user किसी भी प्रोजेक्ट में push कर सकता है। छोटी टीमों में अक्सर सबको access दिया जाता है। नतीजा यह कि एक छोटी सी गलती पूरे इंफ्रास्ट्रक्चर को जोखिम में डाल देती है।

भारत पर असर

भारतीय सॉफ्टवेयर डेवलपर्स जो self-managed GitLab इस्तेमाल करते हैं, उनके कोड repositories अब खतरे में हैं। अगर सर्वर अपडेट नहीं है तो कोई भी लॉगिन यूजर कमांड चला सकता है। इसका मतलब संवेदनशील प्रोजेक्ट चोरी, क्लाइंट डेटा लीक और नौकरी पर संकट। आईटी कंपनियां जो internal GitLab सर्वर चलाती हैं, उन्हें infrastructure compromise का डर है। attacker git यूजर बनकर फाइल्स बदल सकता है, बैकडोर लगा सकता है। इससे कंपनी की पूरी डिजिटल व्यवस्था बिगड़ सकती है।

स्टूडेंट्स और रिसर्चर्स जो ओपन प्रोजेक्ट्स पर self-hosted GitLab से सहयोग करते हैं, उनका काम unauthorized access से सुरक्षित नहीं रह जाएगा। सालों की मेहनत एक crafted notebook से चोरी हो सकती है। सुरक्षा बढ़ाने के लिए तुरंत अपडेट लगाना जरूरी है।

दूसरा पक्ष

GitLab ने flaw को 10 जून को ही patch कर दिया था, यानी कंपनी ने अपनी जिम्मेदारी निभाई। छह हफ्ते बाद PoC पब्लिश होना सामान्य है क्योंकि researchers community को सचेत करना चाहते हैं। कई एक्सपर्ट्स कहते हैं कि PoC जारी करने से कंपनियां जल्दी अपडेट लेती हैं। अगर PoC न जारी होता तो कई जगहों पर flaw अनदेखा रह जाता। self-managed यूजर्स को खुद जिम्मेदारी लेनी चाहिए। patch उपलब्ध होने के बाद भी अपडेट न लगाना यूजर्स की गलती है, न कि vendor की। यही वजह है कि security community इस disclosure को सही मानती है।

आगे क्या

अगले कुछ हफ्तों में सभी self-managed GitLab यूजर्स को 18.11.3 से ऊपर के वर्जन पर अपडेट करना होगा। कंपनियां अपने सर्वर स्कैन कर रही हैं कि कहीं पुराना वर्जन तो नहीं चल रहा। भारतीय आईटी टीमों को तुरंत patch लगाने की सलाह दी जा रही है। अगर अपडेट लग गया तो खतरा खत्म। लेकिन जो सर्वर अभी भी पुराने हैं, वे आसान टारगेट बन सकते हैं।

रिसर्चर्स आगे और exploits जारी कर सकते हैं। इसलिए कंपनियों को monitoring बढ़ाना चाहिए। आम डेवलपर्स को भी अपने प्रोजेक्ट्स की सुरक्षा चेक करनी चाहिए।

मुख्य बातें

1. GitLab ने 10 जून 2026 को RCE flaw को patch किया लेकिन 24 जुलाई को researchers ने working PoC code जारी कर दिया।
2. कोई भी authenticated user crafted Jupyter notebook commit करके commit diff खोलते ही git यूजर के रूप में कमांड चला सकता है।
3. यह flaw self-managed GitLab 18.11.3 सर्वर को प्रभावित करता है जो अपडेट नहीं लिया।
4. भारत में secure internet servers सिर्फ 1,212.44 प्रति मिलियन (2024) हैं, जिससे अपडेट न लगाने का खतरा बढ़ जाता है।

निष्कर्ष

GitLab की यह remote code execution गड़बड़ी दिखाती है कि patch जारी होने के बाद भी अपडेट न लगाना कितना महंगा पड़ सकता है। लाखों भारतीय डेवलपर्स और कंपनियां जिनके पास self-managed सर्वर हैं, उनके कोड और डेटा अब किसी authenticated यूजर के हाथ में जा सकते हैं। कम R&D खर्च और कम secure servers (1,212.44 per 1M people in 2024) ने समस्या को और गंभीर बना दिया है।

वही पुरानी कहानी फिर दोहराई गई जो Log4j के समय देखी थी — patch उपलब्ध है लेकिन लागू करने में देरी। अगला कदम यह है कि आज ही अपने GitLab इंस्टेंस को लेटेस्ट वर्जन पर अपडेट कर लें।