CVE-2026-97229: Критична вразливість GitLab RCE дозволяє неавторизоване виконання коду

GitLab випустила термінові оновлення безпеки, що вирішують CVE-2026-97229, вразливість віддаленого виконання коду максимальної важкості, що впливає на GitLab Community Edition (CE) і Enterprise Edition (EE). Недолік має CVSS-оцінку 10,0 і може дозволити неаутентифікованому віддаленому атакувальнику виконувати довільний код на уразливому сервері GitLab за певних умов.

Вразливість міститься в компіляторі регулярних виразів CI/CD від GitLab і є результатом недостатньої перевірки спеціально створених регулярних виразів. Успішна експлуатація може загрожувати конфіденційності, цілісності та доступності оточення GitLab без вимоги до аутентифікації або взаємодії з користувачем.

GitLab випустила виправлені версії 19.2.8, 19.3.4, і 19.4.2 12 жовтня 2026 року, настійно закликаючи адміністраторів самокерованих установок оновити їх негайно. GitLab.com уже працює на виправленій версії, а клієнтам GitLab Dedicated не потрібно вживати додаткових дій.

З керуванням вихідним кодом та інфраструктурою CI/CD, що містить чутливі репозиторії, облікові дані, секрети розгортання та доступ до середовищ виробництва, вразливості в GitLab можуть створити значні ризики для сучасних ланцюгів постачання програмного забезпечення.

Команди безпеки можуть зміцнити свій захист від експлуатації нових вразливостей з платформою AI-Native Detection Intelligence від SOC Prime, прискорюючи полювання на загрози та розробку засобів виявлення, одночасно адаптуючи логіку виявлення до телеметрії безпеки своєї організації.

Зв’язатися з відділом продажу

Аналіз CVE-2026-97229

CVE-2026-97229 впливає на установки GitLab CE та EE у трьох нині вразливих випускних гілках:

• GitLab 19.2 до 19.2.8
• GitLab 19.3 до 19.3.4
• GitLab 19.4 до 19.4.2

Вразливість викликана переповненням цілого числа в компіляторі регулярних виразів CI/CD. Цей компонент обробляє регулярні вирази, що використовуються в конфігураціях конвеєру проекту. За даними GitLab, недостатня валідація регулярних виразів може дозволити неаутентифікованому атакувальнику надати спеціально створений вираз, що в кінцевому підсумку призводить до виконання довільного коду на сервері GitLab.

GitLab присвоїв вразливості максимальну оцінку CVSS 3.1 – 10,0, з вектором AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Це відображає серйозність вразливості, доступної через мережу, яка не вимагає аутентифікації чи взаємодії з користувачем і потенційно може мати великий вплив на конфіденційність, цілісність і доступність.

Недолік є особливо небезпечним, оскільки сервери GitLab зазвичай займають високопривілейоване положення в інфраструктурі розвитку. Вони можуть хостити власний вихідний код, змінні CI/CD, облікові дані розгортання, маркери доступу, конфігураційні файли та інтеграції з хмарними і виробничими середовищами.

Виконання довільного коду на базовому сервері GitLab може, таким чином, надати атакувальникам можливості доступу до чутливих репозиторіїв, витягування секретів, маніпуляції з вихідним кодом, перешкоджання в конвеєрах, установлення стійкості або використання скомпрометованої інфраструктури як проміжного етапу для інших систем.

Вразливість була повідомлена GitLab через програму нагород за баги HackerOne дослідником безпеки joaxcar. GitLab не вказав публічно точну дату, коли проблема була вперше виявлена або приватно повідомлена. Вона була публічно розкрита з випуском критичного патча 12 жовтня 2026 року.

Розкриття слідує за іншими недавніми вразливостями, що впливають на компоненти обробки регулярних виразів GitLab. У вересні 2026 року GitLab виправив CVE-2026-93577, ще одне переповнення цілого числа в компіляторі регулярних виразів, а також CVE-2026-89078, вразливість подвійного звільнення в парсері регулярних виразів. Ті ранні недоліки вимагали аутентифікації, тоді як нова вразливість може бути активована неаутентифікованим атакувальником за умовами, описаними GitLab.

Станом на 12 жовтня 2026 року GitLab і зазначені звіти безпеки не підтвердили активну експлуатацію вразливості в реальних атаках. На момент написання не задокументовано жодного публічно перевіреного PoC CVE-2026-97229 у первинних джерелах.

Для виявлення CVE-2026-97229 захисники повинні контролювати самокеровану інфраструктуру GitLab на предмет підозрілої активності з файлами конфігурації CI/CD, незвичайних регулярних виразів, неочікуваної поведінки сервісу GitLab і аномальних процесів, запущених із компонентів серверу GitLab.

Оскільки успішна експлуатація забезпечує виконання довільного коду, поведінка після експлуатації може значно відрізнятися в залежності від цілей атакувальника. Моніторинг повинен включати не тільки запити, специфічні для вразливості, але й виконання процесів, вихідну мережеву активність, доступ до облікових даних, механізми збереження та неочікувані модифікації репозиторіїв або конфігурації CI/CD.

Пом’якшення CVE-2026-97229

GitLab настійно рекомендує адміністраторам самокерованих розгортувань CE та EE негайно оновитися до однієї з виправлених версій:

• 19.4.2 або пізнішої версії
• 19.3.4 або пізнішої версії
• 19.2.8 або пізнішої версії

GitLab.com вже оновлено до виправленої версії, і клієнтам GitLab Dedicated не потрібно вживати заходів. CERT-EU також рекомендує пріоритезувати оновлення для самокерованих інстанцій, особливо тих, що безпосередньо доступні з Інтернету.

Організації повинні спочатку провести інвентаризацію самокерованих установок GitLab та визначити їх точні версії. Інстанції на Інтернеті та сервери, інтегровані з чутливою інфраструктурою розвитку, розгортання, хмар або виробництва, повинні отримати найвищий пріоритет у усуненні.

Адміністратори також повинні переглянути недавні зміни в конфігураціях CI/CD на предмет неочікуваних або незрозумілих зразків регулярних виразів. Підозрілі зміни конфігурації слід корелювати з активністю аутентифікації, змінами в Git-репозиторіях, телеметрією сервера та подіями виконання процесів.

Для виявлення спроб експлуатації CVE-2026-97229 команди безпеки повинні шукати незвичайну активність, пов’язану з обробкою конфігурації CI/CD від GitLab, за якою слідують аномальні процеси на стороні сервера, неочікувана активність оболонки, вихідні підключення або зміни в чутливих репозиторіях та ресурсах конвеєру.

Оскільки GitLab не розкрив конкретних індикаторів атаки для CVE-2026-97229, захисники повинні покладатися на поведінковий моніторинг, а не чекати на статичні хеши, IP-адреси або домени. Організації, що виявлять індикатори можливого використання, повинні вважати сервер GitLab потенційно скомпрометованим та розслідувати доступ до секретів CI/CD, облікових даних репозиторіїв, виконавців, токенів розгортання та підключеної інфраструктури.

Облікові дані і секрети, доступні з підозрюваної компрометованої інстанції, повинні бути змінені після стримування. Команди безпеки також повинні переглянути історію репозиторіїв і конфігурації конвеєру на предмет несанкціонованих змін, які можуть встановити стійкість в ланцюзі постачання програмного забезпечення навіть після виправлення підлягаючого сервера.

Платформа AI-Native Detection Intelligence від SOC Prime може допомогти командам безпеки оперувати новими загрозливими розвідками та адаптувати логіку виявлення до своїх середовищ SIEM, EDR та інших систем безпеки, підтримуючи швидше розслідування підозрілої поведінки, пов’язаної з критичними вразливостями.