GitLab предупреди потребителите си незабавно да актуализират самостоятелно управляваните инсталации на платформата за разработка на софтуер заради критична уязвимост, която при определени условия може да позволи на неавтентикирани нападатели да изпълняват произволен код на сървъра. Проблемът е регистриран като CVE-2026-97229 и засяга компилатора на регулярни изрази, използван в CI/CD конфигурациите на проектите.
Уязвимостта произтича от целочислено препълване (integer overflow), свързано с недостатъчна проверка на регулярните изрази. Специално създаден израз, включен в конфигурацията на CI/CD процес, може да задейства проблема и да отвори възможност за изпълнение на код без предварително удостоверяване на потребителя.
GitLab съобщи, че е отстранил дефекта в изданията Community Edition (CE) и Enterprise Edition (EE). Корекциите са включени във версиите 19.2.8, 19.3.4 и 19.4.2. Компанията настоятелно препоръчва на всички организации със самостоятелно управлявани инсталации да преминат незабавно към съответната коригирана версия.
Проблемът е открит от изследовател по сигурността, използващ псевдонима joaxcar, и е докладван чрез програмата на GitLab за откриване и възнаграждаване на уязвимости HackerOne.
От компанията уточняват, че GitLab.com вече работи с версия, съдържаща корекцията, а клиентите на GitLab Dedicated не трябва да предприемат допълнителни действия във връзка с този конкретен проблем.
Рискът е особено съществен за организациите, които използват GitLab като централен компонент на процесите си за разработка, изграждане и внедряване на софтуер. При успешно използване на уязвимост от този тип последствията могат да надхвърлят самата платформа и да засегнат поверителността на кодовите хранилища, достъпа до чувствителни данни и свързаните системи за автоматизация. Реалният обхват на възможните щети зависи от правата на процесите, конфигурацията на средата и наличните защитни механизми.
Настоящият случай идва след други сериозни проблеми, отстранени от GitLab през последните месеци. През януари компанията коригира уязвимост с висока степен на опасност, регистрирана като CVE-2026-0723, която е позволявала заобикаляне на двуфакторното удостоверяване при определени условия. През септември беше отстранена и друга критична уязвимост – CVE-2026-85706, даваща възможност на неавтентикирани нападатели да извличат чувствителна информация, включително идентификационни данни и други тайни, от уязвими сървъри.
Ден след оповестяването на последния проблем Агенцията за киберсигурност и защита на инфраструктурата на САЩ (CISA) включи CVE-2026-85706 в каталога си с уязвимости, за които има данни, че се използват при реални атаки. На федералните агенции беше наредено да защитят системите си в рамките на три дни.
CISA е включила общо пет уязвимости в GitLab в този каталог от ноември 2021 г. насам, като сред тях има и проблем, използван при атаки с цел изнудване чрез зловреден софтуер.
GitLab посочва, че платформата му за DevSecOps се използва от над 30 милиона регистрирани потребители и повече от половината компании от класацията Fortune 100. Сред посочените клиенти са Nvidia, T-Mobile, Lockheed Martin, Airbus и Goldman Sachs.
За администраторите основният приоритет е проверка на използваното издание и незабавно инсталиране на съответната корекция. Организациите следва също да прегледат CI/CD конфигурациите, да ограничат ненужните права на изпълняваните процеси и да проверят журналите за необичайна активност. Актуализацията отстранява известния дефект, но сама по себе си не доказва, че дадена инсталация не е била компрометирана преди прилагането ѝ.
