GitLab повідомив про критичну уразливість CVE-2026-97229 у CI/CD Regular Expression Compiler, яка за певних умов дозволяє неавтентифікованому зловмиснику виконати довільний код на сервері. Виправлення вже доступні, а GitLab закликає встановити їх без зволікань.
Що сталося
За даними компанії, проблема пов’язана з переповненням цілого в компоненті, що розбирає, компілює та оцінює регулярні вирази у файлах конфігурації конвеєрів. Через недостатню валідацію регулярних виразів спеціально сформований вираз у CI/CD-конфігурації міг призвести до віддаленого виконання коду без автентифікації.
Уразливість виявив дослідник під псевдонімом joaxcar і надіслав звіт через програму винагород HackerOne.
Кому оновлювати
Виправлення включено в такі версії GitLab CE/EE:
- 19.2.8 (і новіші) — уразливі всі попередні 19.2.x;
- 19.3.4 (і новіші) — уразливі всі попередні 19.3.x;
- 19.4.2 (і новіші) — уразливі всі попередні 19.4.x.
Компанія наголошує, що всі інсталяції, якими керують самостійно, варто оновити негайно. Сервіс GitLab.com уже працює на пропатченій версії, а клієнтам GitLab Dedicated дій не потрібно.
Контекст останніх виправлень
CVE-2026-97229 — не перша серйозна вада, яку GitLab усуває останнім часом. У січні було виправлено проблему високої критичності з обходом двофакторної автентифікації (CVE-2026-0723). Місяць тому закрили ще одну максимальну за критичністю уразливість (CVE-2026-85706), що дозволяла неавтентифікованим користувачам читати чутливі дані на вразливих серверах.
Наступного дня після публікації виправлення для CVE-2026-85706 Управління з кібербезпеки та інфраструктурної безпеки США (CISA) додало цю ваду до каталогу активно експлуатованих та зобов’язало федеральні відомства закрити її протягом трьох днів. Загалом CISA відмічала п’ять уразливостей GitLab, що використовувалися в атаках із листопада 2021 року, включно з тими, які застосовували угруповання з програмами-шифрувальниками.
Хто користується GitLab
GitLab зазначає, що його DevSecOps-платформою користуються понад 30 млн зареєстрованих користувачів і більше половини компаній з переліку Fortune 100. Серед клієнтів — Nvidia, T-Mobile, Lockheed Martin, Airbus і Goldman Sachs.