GitLab закрыла критическую дыру с удалённым запуском кода

GitLab выпустила исправления для уязвимости максимального уровня опасности в своей платформе для разработки. Ошибка CVE-2026-97229 при определённых условиях позволяет злоумышленнику без авторизации выполнить произвольный код на сервере GitLab. Компания настоятельно советует владельцам собственных серверов обновиться немедленно.

Уязвимость нашли в компоненте, который разбирает и выполняет регулярные выражения в файлах настройки конвейеров CI/CD. Это сценарии, по которым GitLab автоматически собирает и тестирует код. Причина в целочисленном переполнении: специально составленное регулярное выражение в конфигурации приводит к сбою, через который можно запустить свой код.

Кого касается

Под угрозой GitLab Community Edition и Enterprise Edition, которые компании разворачивают на своих серверах. Уязвимы версии:

• 19.2 до 19.2.8;
• 19.3 до 19.3.4;
• 19.4 до 19.4.2.

Облачный GitLab.com уже работает на исправленной версии, клиентам GitLab Dedicated тоже ничего делать не нужно. Ошибку обнаружил исследователь под ником joaxcar и сообщил о ней через программу вознаграждений за уязвимости на HackerOne. Об атаках с её использованием пока не известно.

Почему медлить опасно

На серверах GitLab компании хранят исходный код, ключи доступа и секреты для развёртывания сервисов. Поэтому такие уязвимости быстро берут в оборот. В прошлом месяце GitLab предупредила о другой ошибке максимального уровня, CVE-2026-85706. Она позволяла без авторизации читать учётные данные и секреты. Американское агентство по кибербезопасности CISA уже на следующий день внесло её в каталог активно эксплуатируемых уязвимостей и дало федеральным ведомствам три дня на защиту.

Всего с ноября 2021 года CISA отметила как атакуемые пять уязвимостей GitLab, одну из них использовали вымогатели. В январе компания закрывала ещё и обход двухфакторной аутентификации CVE-2026-0723.

Источники: GitLab — бюллетень об исправлениях, BleepingComputer — об уязвимости CVE-2026-97229