Разработчики GitLab выпустили экстренные патчи для критической уязвимости CVE-2026-97229, которая позволяла без аутентификации выполнять произвольный код на стороне сервера. Проблема затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE) и получила максимальную оценку по шкале CVSS — 10 баллов из 10 возможных.
Уязвимость связана с целочисленным переполнением в компиляторе регулярных выражений CI/CD (Regular Expression Compiler), компоненте, который отвечает за обработку регулярных выражений в конфигурациях CI/CD-пайплайнов.
Из-за некорректной проверки регулярных выражений при определенных условиях атакующий мог внедрить специально подготовленное выражение в конфигурацию CI/CD и добиться выполнения произвольного кода на сервере GitLab. При этом злоумышленнику не требовалась аутентификация.
Согласно официальному бюллетеню безопасности, уязвимость затрагивает следующие версии GitLab CE и EE:
• 19.2 — до 19.2.8;
• 19.3 — до 19.3.5;
• 19.4 — до 19.4.2.
Исправления вошли в состав версий 19.4.2, 19.3.5 и 19.2.8, и теперь разработчики настоятельно рекомендуют администраторам как можно скорее установить обновления. Также отмечается, что облачный сервис GitLab.com уже использует исправленную версию, и клиентам GitLab Dedicated никаких действий предпринимать не нужно.
Помимо CVE-2026-97229, вышедшие обновления устраняли ряд других багов, включая три серьезные уязвимости:
- CVE-2026-92883 (8,7 балла по шкале CVSS) — XSS-баг, позволявший авторизованному атакующему выполнять произвольный JavaScript в браузерах других пользователей через специально подготовленный репозиторий.
- CVE-2026-16301 (8,5 балла по шкале CVSS) — некорректная проверка прав доступа, из-за которой пользователь с ролью Developer имел возможность запускать CI/CD-пайплайны в защищенных ветках без соответствующих разрешений.
- CVE-2026-14814 (8,2 балла по шкале CVSS) — ошибка при обработке регулярных выражений, позволявшая атакующему подменять кешированные ответы при обращении к файлам репозитория. В результате CI/CD-пайплайны других пользователей могли выполнить подготовленный злоумышленником код, что потенциально грозило раскрытием защищенных переменных окружения.
Напомним, что в сентябре 2026 года разработчики GitLab устранили другую критическую уязвимость — CVE-2026-85706, тоже получившую максимальные 10 баллов по шкале CVSS. Эта проблема позволяла атакующим без аутентификации читать произвольные данные с серверов, включая пароли и другие секреты. Вскоре после раскрытия информации об уязвимости ИБ-специалисты зафиксировали попытки ее эксплуатации.
