Seguir O GitLab lançou atualizações de segurança de emergência para resolver a CVE-2026-97229, uma vulnerabilidade de execução remota de código de máxima gravidade que afeta o GitLab Community Edition (CE) e Enterprise Edition (EE). A falha possui uma pontuação CVSS de 10,0 e pode permitir que um invasor remoto não autenticado execute código arbitrário em um servidor GitLab vulnerável sob certas condições.
A vulnerabilidade reside no Compilador de Expressões Regulares CI/CD do GitLab e resulta de uma validação insuficiente de expressões regulares especialmente elaboradas. A exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade de um ambiente GitLab sem exigir autenticação ou interação do usuário.
O GitLab lançou versões corrigidas 19.2.8, 19.3.4 e 19.4.2 em 12 de outubro de 2026, instando fortemente os administradores de instalações autogeridas a atualizarem imediatamente. O GitLab.com já está executando a versão corrigida, enquanto os clientes do GitLab Dedicated não precisam tomar medidas adicionais.
Com o gerenciamento de código-fonte e a infraestrutura CI/CD contendo repositórios sensíveis, credenciais, segredos de implantação e acesso a ambientes de produção, vulnerabilidades no GitLab podem criar riscos significativos para as cadeias de suprimentos de software modernas.
As equipes de segurança podem fortalecer suas defesas contra a exploração de vulnerabilidades emergentes com a Plataforma de Inteligência de Detecção Nativa de IA da SOC Prime, acelerando a caça a ameaças e a engenharia de detecção enquanto adaptam a lógica de detecção à telemetria de segurança da sua organização.
Análise CVE-2026-97229
CVE-2026-97229 afeta instalações do GitLab CE e EE em três ramificações de lançamento atualmente vulneráveis:
- GitLab 19.2 antes de 19.2.8
- GitLab 19.3 antes de 19.3.4
- GitLab 19.4 antes de 19.4.2
A vulnerabilidade é causada por um estouro de inteiro no Compilador de Expressões Regulares CI/CD. Este componente processa expressões regulares usadas dentro de configurações de pipeline de projeto. Segundo o GitLab, a validação insuficiente de expressões regulares pode permitir que um invasor não autenticado forneça uma expressão especialmente elaborada que resulte em execução arbitrária de código no servidor GitLab.
O GitLab atribuiu à vulnerabilidade a pontuação máxima CVSS 3.1 de 10,0, com o vetor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Isso reflete a gravidade de uma vulnerabilidade acessível via rede que não requer nem autenticação nem interação do usuário e pode potencialmente ter um alto impacto na confidencialidade, integridade e disponibilidade.
A falha é particularmente perigosa porque os servidores GitLab comumente ocupam uma posição altamente privilegiada dentro da infraestrutura de desenvolvimento. Eles podem hospedar código-fonte proprietário, variáveis CI/CD, credenciais de implantação, tokens de acesso, arquivos de configuração e integrações com ambientes de nuvem e produção.
A execução de código arbitrário no servidor GitLab subjacente pode, portanto, dar aos atacantes oportunidades de acessar repositórios sensíveis, extrair segredos, manipular código-fonte, interferir com pipelines, estabelecer persistência ou usar a infraestrutura comprometida como trampolim para outros sistemas.
A vulnerabilidade foi relatada ao GitLab através de seu programa de recompensas HackerOne por joaxcar, pesquisador de segurança. O GitLab não especificou publicamente a data exata em que o problema foi inicialmente descoberto ou relatado em privado. Foi divulgado publicamente com a liberação do patch crítico em 12 de outubro de 2026.
A divulgação segue outras vulnerabilidades recentes que afetam os componentes de processamento de expressões regulares do GitLab. Em setembro de 2026, o GitLab corrigiu a CVE-2026-93577, outro estouro de inteiro no Compilador de Expressões Regulares, bem como a CVE-2026-89078, uma vulnerabilidade de liberação dupla no Parser de Expressões Regulares. Essas falhas anteriores exigiam autenticação, enquanto que a recém-divulgada vulnerabilidade pode ser acionada por um invasor não autenticado sob as condições descritas pelo GitLab.
Até 12 de outubro de 2026, o GitLab e os relatórios de segurança referenciados não confirmaram a exploração ativa da vulnerabilidade em ataques no mundo real. Nenhum CVE-2026-97229 PoC validado publicamente foi documentado nas fontes principais revisadas no momento da redação.
Para detecção da CVE-2026-97229, os defensores devem monitorar a infraestrutura GitLab autogerida em busca de atividades suspeitas de configuração CI/CD, expressões regulares incomuns, comportamento inesperado do serviço GitLab e processos anormais originados de componentes do servidor GitLab.
Como a exploração bem-sucedida fornece execução arbitrária de código, o comportamento pós-exploração pode variar consideravelmente dependendo dos objetivos de um atacante. O monitoramento deve, portanto, ir além dos padrões de solicitação específicos da vulnerabilidade para incluir execução de processos, atividade de rede de saída, acesso a credenciais, mecanismos de persistência e modificações inesperadas de repositórios ou configuração CI/CD.
Mitigação da CVE-2026-97229
O GitLab recomenda fortemente que os administradores de implantações CE e EE autogeridas atualizem imediatamente para uma das versões corrigidas:
- 19.4.2 ou posterior
- 19.3.4 ou posterior
- 19.2.8 ou posterior
O GitLab.com já foi atualizado para uma versão corrigida, e os clientes do GitLab Dedicated não precisam tomar medidas. O CERT-EU também recomenda priorizar atualizações para instâncias autogeridas, particularmente aquelas diretamente acessíveis da internet.
As organizações devem primeiro inventariar instalações autogeridas do GitLab e determinar suas versões precisas. Instâncias voltadas para a internet e servidores integrados com infraestrutura de desenvolvimento, implantação, nuvem ou produção sensíveis devem receber a mais alta prioridade de remediação.
Os administradores também devem revisar mudanças recentes na configuração CI/CD em busca de padrões de expressões regulares inesperados ou inexplicáveis. Modificações de configuração suspeitas devem ser correlacionadas com atividade de autenticação, alterações no repositório Git, telemetria do servidor e eventos de execução de processos.
Para detectar tentativas de exploração da CVE-2026-97229, as equipes de segurança devem procurar por atividades incomuns envolvendo o processamento de configuração CI/CD do GitLab seguidas por execução anômala de processos no servidor, atividade de shell inesperada, conexões de saída ou mudanças em repositórios sensíveis e recursos de pipeline.
Como o GitLab não divulgou IOCs específicos de ataque para a CVE-2026-97229, os defensores devem confiar no monitoramento comportamental em vez de esperar por hashes estáticos, endereços IP ou domínios. As organizações que descobrirem indicadores de possível exploração devem tratar o servidor GitLab como potencialmente comprometido e investigar o acesso a segredos CI/CD, credenciais de repositório, runners, tokens de implantação e infraestrutura conectada.
As credenciais e segredos acessíveis a partir de uma instância suspeita de comprometimento devem ser rotacionados após a contenção. As equipes de segurança também devem revisar o histórico do repositório e as configurações de pipeline para mudanças não autorizadas que possam estabelecer persistência na cadeia de suprimentos de software, mesmo após o servidor subjacente ter sido corrigido.
A Plataforma de Inteligência de Detecção Nativa de IA da SOC Prime pode ajudar as equipes de segurança a operacionalizar inteligência de ameaças emergentes e adaptar a lógica de detecção ao seu SIEM, EDR e outros ambientes de segurança, apoiando uma investigação mais rápida de comportamentos suspeitos associados a vulnerabilidades críticas.
FAQ
O que é a CVE-2026-97229 e como ela funciona?
A CVE-2026-97229 é uma vulnerabilidade crítica de estouro de inteiro no Compilador de Expressões Regulares CI/CD do GitLab. A validação insuficiente de expressões regulares especialmente elaboradas pode, sob certas condições, permitir que um atacante remoto não autenticado execute código arbitrário em um servidor GitLab afetado. A vulnerabilidade possui uma pontuação CVSS de 10,0.
Quando a CVE-2026-97229 foi descoberta pela primeira vez?
O GitLab creditou ao pesquisador de segurança joaxcar o relato da vulnerabilidade através do seu programa de recompensas HackerOne. A empresa não divulgou a descoberta ou data exata do relatório inicial. A vulnerabilidade foi divulgada publicamente em 12 de outubro de 2026, junto com as versões 19.4.2, 19.3.4 e 19.2.8 do GitLab.
Qual é o impacto da CVE-2026-97229 nos sistemas?
A exploração bem-sucedida pode proporcionar a atacantes não autenticados a execução arbitrária de código no servidor GitLab. Dependendo do ambiente, isso pode expor código-fonte, segredos CI/CD, credenciais, repositórios, infraestrutura de implantação e outros recursos acessíveis a partir da instância comprometida.
A CVE-2026-97229 ainda pode me afetar em 2026?
Sim. Instalações autogeridas do GitLab CE e EE executando versões vulneráveis permanecem expostas até serem atualizadas. As versões 19.2 do GitLab antes da 19.2.8, 19.3 antes da 19.3.4 e 19.4 antes da 19.4.2 são afetadas. O GitLab.com já foi corrigido, e os clientes do GitLab Dedicated não precisam tomar medidas adicionais.
Como posso me proteger da CVE-2026-97229?
Atualize imediatamente as instalações autogeridas do GitLab para a versão 19.2.8, 19.3.4, 19.4.2 ou uma versão segura posterior. Priorize instâncias voltadas para a internet, investigue alterações suspeitas de configuração CI/CD e processos anormais no servidor, e rotacione credenciais sensíveis se houver suspeita de comprometimento. Os administradores também devem monitorar os lançamentos de segurança do GitLab para mais detalhes atualizados sobre a CVE-2026-97229.
