מה חדש ב-GitLab 19.4?

פורסם ב 25 בספטמבר 2026 ¬ 10:15נעה הראל

סקירת גרסת GitLab 19.4

GitLab 19.4, אשר שוחררה ב-17 בספטמבר 2026, מרחיבה את האוטומציה של הסוכנים (agentic automation) לאורך מחזור חיי פיתוח התוכנה, מוסיפה Governance (משילות) חזק יותר עבור כלי MCP, משפרת את ניראות עלויות ה-AI ומציגה יכולות אבטחה חדשות כגון זיהוי חבילות זדוניות וכיסוי שפות נרחב יותר ב-SAST.

אנו ממליצים לתכנן שדרוג לגרסה הנתמכת המתאימה לאחר בדיקת נתיב השדרוג (upgrade path), דרישות הפריסה ודגלי התכונות (feature flags) הרלוונטיים.

אפשר גם לפנות אלינו ע"מ שנשדרג עבורכם בצורה מהירה, זהירה וחכמה.
אנו מסייעים ללקוחות רבים לשדרג את סביבות ה-GitLab שלהם ולהפיק מהן את המירב, כולל שיטות עבודה מומלצות עבור CI/CD, DevSecOps, משילות AI וניהול סודות (secrets-management)!

הסקירה להלן מכסה את כל 35 התכונות החדשות של GitLab 19.4, יחד עם שיפורים שתרמה הקהילה. מגבלות beta, גרסאות ניסיוניות (experimental), חבילות רישוי (tiers) ופריסה מצוינות במקומות הרלוונטיים.

1. בינה מלאכותית (AI) ותהליכי עבודה אג'נטיים (Agentic Workflows)

גרסת GitLab 19.4 מרחיבה את משימות הפיתוח שצוותים יכולים להאציל לסוכני בינה מלאכותית, עם בקרות משילות ואישור הניתנות להגדרה. הגישה ל-AI תלויה במנוי, בתכונות המופעלות, במודלים הנתמכים ובקרדיטים של GitLab (GitLab Credits).

פקודת goal/ ב-GitLab Duo CLI: מפתחים מתארים יעד פתוח, כגון תיקון בדיקות שנכשלו. ה-workflow המקומי מיישם שינויים ומשתמש בשיפוט עצמאי (independent judge) כדי לבדוק את ההתקדמות עד להשגת היעד או הגעה למגבלת האיטרציות.
מפתחים יכולים להשהות או לנתב אותו מחדש.

דרישות קדם: מהדורות Premium או Ultimate, גרסת GitLab 19.3 ומעלה, ו-GitLab Duo CLI בגרסה 9.17.0 ומעלה. הרצת ה- workflow המקומי אינה אומרת שמודל ה-AI רץ באופן מקומי.
Governance עבור כלי שרת GitLab MCP: כלי MCP מופיעים לצד כלים פנימיים בהגדרות GitLab Duo. כלי MCP לקריאה בלבד מוגדרים כברירת מחדל ל-Always Allow (אפשר תמיד); כלי כתיבה ומחיקה מוגדרים כברירת מחדל ל-Always Ask (שאל תמיד). חוקים יכולים גם למנוע גישה לכלים.
הזמינות כפופה להגדרות ה- governance הרלוונטיות; אכיפת זרימת הרקע מנוהלת באמצעות feature flag נפרד.
הגבלת הגישה לשרתי MCP חיצוניים (בטא): לקוחות Premium ו-Ultimate יכולים לאשר או למנוע גישה לשרתי MCP חיצוניים שלמים או לכלים בודדים בסביבות Agentic Chat, תזרימים, סביבות פיתוח (IDEs) ו-CLI. בדקו את תצורת המשילות ודגלי התכונות הרלוונטיים עבור סביבת ההרצה.
כלי MCP מורחבים (בטא ציבורית): הגרסה מרחיבה את האוטומציה עבור CI/CD, בקשות מיזוג (merge requests), מאגרים, פרויקטים, משתמשים, פריטי עבודה (work-items) ופגיעויות אבטחה. זמינות הכלים עדיין תלויה בהרשאות, ברישוי ובתכונות מופעלות.
דרישות קדם: כלי פגיעויות דורשים רישוי Ultimate.
כלי CI/CD: הכלי save_pipeline מתחיל, מריץ מחדש או מבטל pipelines;
הכלי get_job מספק meta data של ה-job ו- traces לאבחון הבנייה.
כלי בקשות מיזוג (Merge Requests): סוכנים יכולים לפתוח ולעדכן merge requests, לבדוק הבדלים (diffs), קונפליקטים ואישורים, להציג רשימה של merge requests בקבוצה, לשלוח תגובות שורה מקובצות עם סיכום, ולאשר, לבטל אישור או למזג כאשר הבדיקות מאפשרות זאת.
כלי פרויקט ומשתמשים: סוכנים יכולים לגלות פרויקטים, לקרוא פרטי פרויקט, להציג רשימת חברים ותפקידים, ולחפש משתמשים לצורך שיוך משימות או אזכור (mention).
כלי מאגרים (Repositories): סוכנים יכולים לדפדף בעצי קבצים, ענפים (branches), תגיות (tags), גרסאות שחרור (releases) וקוממיטים (commits), ליצור commits המכילים שינויים במספר קבצים, ולבצע fork למאגרים.
כלי פריטי עבודה ודיונים: הכלים get_work_item, list_work_items ו-save_work_item מכסים issues, epics, משימות, אירועי אבטחת מידע (incidents), יעדים ותוצאות מפתח (OKRs). כלי ה-save_note המאוחד יוצר הערות ותשובות לדיונים, ומחליף את הכלים הנפרדים הקודמים ליצירת הערות.
כלי חיפוש סמנטי: הכלי semantic_code_search הופך ל-semantic_search. פרמטר הטווח (scope) החדש שלו מקבל כרגע רק קוד; שינוי זה אינו מוסיף סוגי תוכן הניתנים לחיפוש בשלב זה.
חיפוש סשן Duo (Duo Session Lookup): הכלי get_duo_session מאחזר סטטוס של סשן ותוצאות זמינות כדי שסוכנים יוכלו לבחון עבודה קודמת.
אינטגרציה של GitLab Duo עם Slack (ניסיוני): משתמשים יכולים לתייג את @GitLab בערוץ או בשרשור ב-Slack כדי לשאול שאלות על קוד המקור, להפעיל תזרים עבודה של סוכן, או ליצור issue ב-GitLab. ה-GitLab Duo מזרים את ההתקדמות שלו ישירות בחזרה לשיחה ב-Slack.
בונה תזרימים ויזואלי (Visual Flow Builder – בטא): הרחבת GitLab עבור VS Code מספקת עורך ויזואלי לתזרימי עבודה מותאמים אישית, עם סוכנים, כלים ומשימות AI. משתמשים יכולים לבדוק תזרימים באופן מקומי ולפרסם אותם לקטלוג ה-AI (AI Catalog).
דרישות קדם: דורש גרסת הרחבה 6.87.0 ומעלה ואת ההגדרה gitlab.featureFlags.flowBuilder.
הרצת תזרימים דורשת גם את הרשאות הפרויקט המתאימות ותצורת פלטפורמת הסוכנים.
טריגר ליצירת Merge Request: כעת ניתן להפעיל תזרימי AI וסוכנים חיצוניים ברגע שנפתחת בקשת מיזוג (merge request) ו-GitLab מייצרת את ה-diff שלה. הדבר מאפשר סקירות אוטומטיות במעבר ראשון וניתוח הקשרי לפני שמפתח מתחיל לבחון ידנית את ה-merge request.
תכונה זו כוללת הן merge requests במצב טיוטה והן כאלו שמוכנים לסקירה.
עיצוב מחדש של פרטי סשן הסוכן: הפאנל מקבץ את סטטוס הסשן, חותמות הזמן, המשתמש המפעיל ופרטי ההרצה. פריטים מקושרים מבחינים בין הפריט היוזם לבין תוצרים כגון merge requests, jobs, פריטי עבודה והערות.
אפשרויות מודל נוספות: המודלים GLM 5.3, Kimi K3 ו-MiniMax M3 באירוח GitLab זמינים עבור Agentic Chat וסוכנים ותזרימים נתמכים. משתמשים יכולים לבחור מודל צ'אט; בעלי קבוצות (Owners) ומנהלי מערכת יכולים לקבוע ברירות מחדל. מטריצת המודלים מחריגה את שלושת המודלים הללו מתזרימי Code Review Flow ו-Security Review Flow. מדובר באפשרויות של מודלים מארחים, ולא בהכרזה על תמיכה בהרצה מקומית מנותקת רשת (air-gapped).
עדכון זמינות מודלים ב-22 בספטמבר: תיעוד המודלים הנוכחי של GitLab מציג גם את GPT-6 Sol ו-GPT-6 Luna עבור Agentic Chat וסוכנים נתמכים אחרים. זהו עדכון קטלוג מודלים לאחר ההשקה, בנפרד מההשקה של ה-17 בספטמבר.
בחירת מודל עצמאית עבור תזרים המפתחים (GA): מנהלי מערכת יכולים לבחור את מודל ה-Developer Flow ללא תלות במודלים המשמשים תכונות אחרות בפלטפורמת הסוכנים.
השבתת טריגרים של תזרים ללא מחיקתם: כעת ניתן להשבית טריגרים של workflow תוך שמירה על הפילטרים והתצורה שלהם, מה שמקל על השהיה וחידוש של אוטומציות.
ניתן לנהל אותם תחת AI > Triggers.

2. אבטחה ותאימות (Compliance)

GitLab 19.4 מוסיפה הגנות חדשות על שרשרת האספקה, מרחיבה את כיסוי אבטחת האפליקציות ומעניקה לצוותי האבטחה אוטומציה ונראות רחבות יותר. תכונות האבטחה בסעיף זה דורשות רישוי Ultimate; כמו כן חלות מגבלות תצורה ופריסה.

זיהוי חבילות זדוניות (בטא): סריקת תלויות (Dependency Scanning) בודקת כעת תלויות מול התרעות הנוזקה של GitLab, מה שעוזר לזהות מתקפות typosquatting, חשבונות מתוחזקים שנפרצו וחבילות המכילות קוד זדוני. הממצאים מופיעים ברשימת התלויות ובדוח הפגיעויות עם תג 'Malware', בחומרת 'Critical' (קריטית) ומזהה GLAM- במקום CVE. המערכות האקולוגיות הנתמכות כוללות את npm, PyPI, Maven, Go, NuGet, Cargo ו-RubyGems. כלל נוזקה במדיניות אישור בקשות מיזוג יכול לדרוש אישור עבור תלויות זדוניות. סריקת פגיעויות רציפה משתמשת באותן התרעות; התקנות אופליין חייבות לייבא אותן ידנית.
SAST מתקדם עבור Kotlin, Dart ו-Scala (בטא): ה-SAST המתקדם מוסיף ניתוח זיהום (taint analysis) עבור שפות אלו, עם כיסוי עבור ממשקי ה-API של Android, Flutter ו-Dio, ופריימוורקים של Scala כגון Play, Slick ו-Akka. הממצאים מציגים את זרימת הקוד מהמקור ליעד (source-to-sink).
תזרים הקשר פגיעויות (ניסיוני): סוכן ניתוח הקשר הפגיעויות (Vulnerability Context Analysis) מפיק הקשרים של אימות, הרשאות ונתונים רגישים כדי לתמוך בתעדוף וסינון (triage). כאשר הוא מופעל, הוא מנתח שינויים בענף ברירת המחדל ברקע ומספק הקשר לתכונות אבטחה בהמשך התהליך. הניתוח שולח את קוד המקור של הפרויקט ל-LLMs.
כלי פגיעויות עבור שרת GitLab MCP: סוכני AI יכולים כעת להציג ולבחון פגיעויות, לבטל או לאשר ממצאים, להחזיר ממצאים למצב שזוהה (detected), לדרוס את רמת החומרה עם הערה, וליצור issues מקושרים. פעולות כתיבה נותרות כפופות לכללי האישור המוגדרים.
לוחות בקרה של אבטחה ארגונית (בטא, GitLab.com בלבד): בעלי ארגונים (Organization Owners) יכולים לצפות בחומרת פגיעויות, מגמות, ה-CWEs המובילים, מדדי סיכון וגיל הפגיעות בכל הקבוצות ברמה העליונה. חיפוש מתקדם וניהול פגיעויות מתקדם הם תנאי קדם. הזמינות כפופה לדגל התכונה organization_security_dashboard, המוגדר כבוי כברירת מחדל לפי התיעוד.
כיסוי סורקים מצטבר: ה-Security Inventory מציג כעת את כיסוי הסורקים עבור SAST, DAST, סריקת תלויות וסורקים אחרים לאורך כל ההיררכיה של הקבוצה. הוא מדווח על כמויות ואחוזי פרויקטים לפי סטטוס הסורק, תומך בסינון לפי פערים בכיסוי האבטחה, ומאפשר למשתמשים לבחור את עמודות ה-inventory המוצגות.
פרופילי תעדוף ותיקון אוטומטיים: לקוחות Ultimate יכולים להגדיר טיפול אבטחה אוטומטי עבור קבוצות או פרויקטים באמצעות פרופיל GraphQL יחיד, עם הגדרות מראש (presets) של Conservative (שמרני), Standard (סטנדרטי) ו-Proactive (פרואקטיבי). התצורה היא באמצעות GraphQL בלבד ודורשת את פלטפורמת הסוכנים (Agent Platform) עם תזרימי בסיס מופעלים עבור הקבוצה ברמה העליונה. רוב התזרימים הכלולים צורכים GitLab Credits; הספים והמגבלות של כל הגדרה מראש משתנים לפי תזרים העבודה.
ביטול אוטומטי של טוקני גישה אישיים ניתנים לניתוב (Routable Personal Access Tokens): כאשר תגובה אוטומטית מופעלת, טוקני גישה אישיים (PATs) של GitLab שהודלפו והתגלו בפרויקטים ציבוריים ניתנים כעת לביטול עבור פורמטים ישנים, ניתנים לניתוב ופורמטים ניתנים לניתוב עם גרסה. הכיסוי כולל הן את GitLab Secret Scanning עבור קוד מקור והן את הסורק המבוסס על Gitleaks.
ביטויי רישוי SPDX: גרסת GitLab 19.4 מוסיפה ביטויי SPDX מורכבים לנתוני רישיונות מסונכרנים ולהערכתם במדיניות אישור רישיונות. ביטויים שסופקו ישירות ב-CycloneDX SBOMs כבר נתמכו בגרסה 19.3. התקנות אופליין זקוקות לסט הנתונים של רישיונות v3 כדי לקבל את נתוני ביטויי הרישוי המסונכרנים החדשים.
תאריכי יעד קבוצתיים לפגיעויות: צוותי אבטחה יכולים לשייך, לעדכן או להסיר תאריכי יעד עבור עד 1,000 ממצאי פגיעויות בבת אחת באמצעות ה-API של GraphQL. המוטציה היא bulkSetVulnerabilityFindingsDueDates והיא מחזירה את מספרי העדכונים ושגיאות מובנות.
ייצוא לקובץ CSV של פגיעויות מסוננות: ייצוא קובצי CSV מדוח הפגיעויות מכבד כעת את המסננים שהוחלו בממשק המשתמש.
מגבלות זמן לפתרון תלויות: שני קלטים בתבנית Dependency-Scanning.v2 מאפשרים למשתמשים להאריך את מגבלות הזמן לפתרון תלויות.

3. עדכוני DevOps ופלטפורמה

שחרור זה משפר גם את ניהול הקרדיטים, פעולות הפריסה, תשתית ה-CI/CD ונוחות השימוש היומיומית.

נראות שימוש בקרדיטים של GitLab (GA): בעלי פלטפורמות יכולים לבחון את השימוש לפי משתמש. הייצוא החדש מוסיף קובץ CSV של אירועים ברי חיוב לסיכום היומי בקובץ ZIP אחד, הכולל נתוני פרויקט, משתמש, סשן, קרדיטים וטוקנים. מנהלי חשבונות חיוב מבקשים ייצוא דרך פורטל הלקוחות (Customers Portal); הייצוא פועל ברקע וקישור ההורדה נשלח במייל.
מגבלות קרדיט בממשק המשתמש: בעלי קבוצות ב-GitLab.com ומנהלי סביבות בניהול עצמי (Self-Managed) יכולים להגדיר תקרת ברירת מחדל למשתמש ודריסות פרטניות דרך דף מגבלות הקרדיט (Credit caps). תכונה זו של Premium/Ultimate תלויה בדגל התכונה credit_caps_ui, המתועד כבוי כברירת מחדל. ה-API של GraphQL נותר זמין.
אזהרות מוקדמות עבור תקרות הוצאה גמישות (Flex Spend Caps): מנהלי חשבונות חיוב יקבלו התראות דוא"ל כאשר השימוש לפי דרישה מגיע ל-50% או 80% מתקרת ההוצאה החודשית. ההתראות נשלחות לכל היותר פעם אחת לכל יכולת בתקופת חיוב, עבור הסף הגבוה ביותר שנחצה; תקרות מתחת ל-$10 אינן נכללות.
סדר צריכת קרדיטים משופר: הקרדיטים החודשיים הכלולים של כל משתמש נצרכים לפני קרדיטים זמניים משותפים לצורכי הערכה. סדר הצריכה של התחייבות חודשית, חיוב חד-פעמי וקרדיטים לפי דרישה נותר ללא שינוי.
GitLab Runner 19.4: כלי Fastzip הופך לארכיון המטמון (cache) והתוצרים (artifacts) המוגדר כברירת מחדל. ה-executor של Kubernetes מקבל תמיכה בהשהיה וחידוש פעולה (suspend/resume), ומכולות השירות (service containers) של Docker מקבלות את ההגדרות services_cap_add ו-services_cap_drop. נראות ה-Job Router משתפרת באמצעות תגיות מדדים חדשות של runner/system_id ואינטגרציה ייעודית של SLI/SLO והתרעות. בקשות סיום כוללות מפתח סביבה (environment key), ואפשרות חדשה מסתירה את כתובות ה-URL של העברת המטמון ביומני הריצה (job logs). כשלים בפתרון סודות מסווגים כעת לפי סיבת הכשל.
תיקוני אמינות של ה-Runner: הגרסה מטפלת גם בטיפול של Job Router בשגיאות 409, קריסות (panics) בשינוי תגיות משותפות, ביטול וכיבוי מבוקר ב-Windows, כפילות מדדים מופרזת (metric cardinality), אזהרות אימות תצורה, כשלים לסירוגין באחזור מקורות, אזהרות על תאימות אדפטיבית (adaptive-concurrency) וכשלים בהפעלת pause-pod ב-Kubernetes.
תיווך Geo SSH מופעל כברירת מחדל: בפריסות Self-Managed ברמת Premium/Ultimate, ניתן לבצע פעולות fetch ו-push של SSH דרך שרת משני שינותבו לשרת הראשי באמצעות הדגלים geo_proxy_fetch_ssh_to_primary ו-geo_proxy_push_ssh_to_primary המופעלים כעת כברירת מחדל.
פעולת פריסה של Geo: פריסות Cloud Native המשתמשות ב-NGINX Ingress המובנה עלולות לחוות פעולות SSH מעוכבות או קטיעות זמן (timeouts) דרך שרתים משניים. הערות השחרור דורשות מעבר ל-Gateway API עם Envoy Gateway לפני הפריסה, או השבתת שני דגלי תיווך ה-Geo SSH לאחר הפריסה.
שינויים צפויים במגבלות הקצב של GitLab.com: חברת GitLab הכריזה על מגבלות מבוססות חבילת רישוי החל מה-19 באוקטובר 2026 עבור חשבונות חינמיים (Free) ובקשות לא מזוהות, ואחריהן עבור Premium ו-Ultimate בינואר 2027. אלו הם שינויי שירות מתוכננים, ולא מגבלות שכבר נאכפות על ידי גרסה 19.4. מסמכי הייחוס של מגבלות הקצב עדיין מתארים את המגבלות החדשות כהצעות בלבד.
גישה והעברת קבצים משופרת ב-API של Artifacts: ה-API של Job Artifacts מוסיף את הפרמטר file_type כדי להוריד דוח מתאים ישירות, בכפוף לבדיקת ההרשאות שלו. לדוגמה, file_type=junit מבקש תוצאות JUnit. מנהלי מערכת יכולים גם לאפשר ללקוחות לבחור בהפניה ישירה (direct redirect) או בהעברה מתווכת (proxied transfer) עבור הורדות של תוצרי ריצה (job artifacts) וחבילות.
אימות בעורך ה-Pipeline: העורך מזהה כעת מילות מפתח נוספות של CI/CD שכבר מתקבלות על ידי ה-backend.

4. חוויית פיתוח

גרסת GitLab 19.4 כוללת מספר שיפורים שהופכים את הפיתוח היומיומי, הסקירה והניהול לשקופים יותר.

תצוגה מקדימה של קובצי Markdown ו-AsciiDoc חדשים: עורך הקבצים החדש כולל כעת לשוניות כתיבה ותצוגה מקדימה (Write ו-Preview), המאפשרות למשתמשים לצפות בתצוגה מקדימה של תוכן Markdown או AsciiDoc לפני ביצוע קוממיט לקובץ. מנוע הרינדור עוקב גם אחר שינויים בסיומת הקובץ.
תצוגה מקדימה של Markdown ב-Snippets: עורך ה-snippets מוסיף תצוגה מקדימה חיה של Markdown דרך תפריט ההקשר שלו.
סטטוסי Merge Request ספציפיים יותר: הווידג'ט של בקשת המיזוג (merge request) מבחין כעת בין מצבים כגון בדיקת קונפליקטים במיזוג לבין קונפליקט בפועל. כאשר פעולת rebase נדחית, הוא מספק גם סיבה ספציפית, כגון הגנת force-push על ענף המקור.
ראו מי נעל קובץ או תיקייה: מציג ה-blob מציג כעת את המשתמש שנעל קובץ ומסביר האם המשתמש הנוכחי יכול לפתוח את הנעילה שלו. דורש Premium או Ultimate.
סינון משופר לפי תאריכי Issues: סינון issues לפי תאריך יצירה, סגירה, תאריך יעד או תאריך עדכון זמין כעת באופן כללי.
העתקת תיאור Merge Request: בעת יצירת merge request לאחר ביצוע cherry-pick לקוממיט, משתמשים יכולים לבחור להעתיק את התיאור של ה-merge request המקורי במקום להחיל אוטומטית את תבנית הפרויקט.
הערות פנימיות בתבניות תגובה: כעת ניתן להשתמש בפקודת /internal_note בעת יצירת תגובות, מה שמאפשר לכלול הערות פנימיות בתבניות תגובה ובתשובות שמורות.
שדרוג Issue ל-Epic: פעולת הקיצור המהירה /type Epic משדרגת כעת גם issue ל-Epic, בדומה לפקודה /promote_to Epic.
דיאגרמות Mermaid משופרות: קישורים בדיאגרמות זרימה של Mermaid ניתנים כעת ללחיצה, והדיאגרמות מרונדרות בצורה נכונה ללא חיתוך בדפדפן Chrome במכשירי iOS.
הדבקת טבלאות משופרת: עורך הטקסט העשיר (rich text editor) מאפשר למשתמשים למזג תאים מועתקים לתוך טבלה או להכניס טבלה מקוננת בתוך תא. קיצור מקלדת תומך בהדבקה מקוננת; גישה ללוח הגזירים (clipboard) דורשת חיבור מאובטח HTTPS או localhost.
אבחון וסינון סנכרון קבוצות LDAP: שגיאות סנכרון קבוצות מופיעות כעת בדף הקבוצה ומזהות עד חמישה חברים מושפעים. אירועי ביקורת (audit events) ספציפיים יותר מבחינים בין יצירת קישור, הסרת קישור ומשתמשים שנחסמו על ידי סנכרון LDAP. הגדרת group_filter מגבילה אילו רשומות LDAP מטופלות כקבוצות. הגדרת סנכרון קבוצות LDAP דורשת רישוי Premium או Ultimate בפריסות Self-Managed.
אימיילים ללא נושא ב-Service Desk: אימיילים עם שורת נושא ריקה יוצרים כעת פניות (tickets) ב-Service Desk במקום להידחות.
נראות הישגים: מנהלי מערכת יכולים להגדיר הישגים שיופיעו בפרופילים מבלי לדרוש מכל נמען לאשר קישור שנשלח בדוא"ל.

אנו מסייעים ללקוחות רבים לשדרג את סביבות ה-GitLab שלהם ולהפיק מהן את המירב, כולל שיטות עבודה מומלצות עבור CI/CD, DevSecOps, משילות AI וניהול סודות.
לפרטים נוספים פנו אלינו: gitlab@almtoolbox.com או טלפונית: 072-240-5222