GitLab закрыла критическую уязвимость, позволяющую при определённых условиях выполнить произвольный код на сервере без пароля и участия пользователя. Проблема получила максимальные 10,0 балла по CVSS. Разработчики выпустили срочные исправления и призвали владельцев собственных серверов обновиться.
Уязвимость CVE-2026-97229 связана с компилятором регулярных выражений, которые GitLab обрабатывает в конфигурациях CI/CD. Недостаточная проверка специально подготовленного выражения может вызвать целочисленное переполнение и привести к выполнению чужого кода. GitLab пока не раскрывает точные условия успешной атаки.
По оценке CVSS 3.1, атака возможна по сети, имеет низкую сложность и не требует ни учётной записи, ни действий жертвы. Успешная эксплуатация способна нарушить конфиденциальность, целостность и доступность системы. Поскольку GitLab часто хранит исходники и управляет процессами сборки, взлом сервера может затронуть всю инфраструктуру разработки.
Ошибка затрагивает GitLab Community Edition и Enterprise Edition начиная с ветки 19.2. Исправления вышли 12 октября 2026 года в версиях 19.2.8, 19.3.5 и 19.4.2. Разработчики рекомендуют немедленно установить подходящий патч на самостоятельно развёрнутые серверы. GitLab.com уже обновлена, а пользователям GitLab Dedicated дополнительных действий не требуется.
Критическую брешь обнаружил исследователь под псевдонимом joaxcar и передал сведения через программу вознаграждений HackerOne. GitLab не заявляла о подтверждённых атаках с применением CVE-2026-97229. Полные технические детали компания пока не публикует. Связанные с исправленными уязвимостями задачи в трекере планируется открыть спустя 90 дней после выпуска патчей.
В том же пакете исправили другие опасные ошибки. CVE-2026-92883 с оценкой 8,7 позволяет авторизованному пользователю внедрить JavaScript через специально подготовленный репозиторий, чтобы код выполнился в чужом браузере. CVE-2026-16301 получила 8,5 балла и позволяет разработчику при определённых условиях запускать конвейеры CI/CD в защищённых ветках без разрешения.
В октябрьский пакет вошла также CVE-2026-14814 с оценкой 8,2. Ошибка позволяет отравить кеш файлов репозитория, заставить чужой конвейер выполнить подменённое содержимое и потенциально раскрыть защищённые переменные окружения. Отдельная уязвимость CVE-2026-96893 допускает внедрение вредоносных инструкций в контекст ИИ-агента GitLab Duo.
GitLab исправила также ошибки контроля доступа, утечки секретов через журналы GitLab Pages и проблемы обработки токенов. Администраторам рекомендуют в первую очередь обновить серверы, доступные из интернета. Предыдущая уязвимость GitLab с максимальными 10 баллами уже подвергалась реальным атакам в сентябре, однако подтверждений эксплуатации новой бреши пока нет.