CISA підтвердила активну експлуатацію критичної вразливості GitLab

Агентство США з кібербезпеки та безпеки інфраструктури CISA підтвердило, що зловмисники почали активно експлуатувати критичну вразливість у GitLab з максимальним рівнем серйозності. Проблему відстежують за ідентифікатором CVE-2026-97229; GitLab випустила виправлення на початку жовтня.

Віддалене виконання коду

За даними BleepingComputer, вразливість виявили в CI/CD Regular Expression Compiler — компоненті, який обробляє, компілює та виконує регулярні вирази у файлах конфігурації конвеєрів. Причиною є переповнення цілого числа та недостатня перевірка виразів.

У разі успішної атаки віддалений неавторизований користувач може виконати довільний код на сервері GitLab, використавши спеціально сформований регулярний вираз у конфігурації CI/CD. GitLab повідомила, що за певних умов ця проблема могла дозволити виконання коду на сервері.

Оновлення та рекомендації

Компанія усунула проблему у версіях GitLab Community Edition і Enterprise Edition 19.4.2, 19.3.5 та 19.2.8 і закликала адміністраторів негайно оновити сервери. Також GitLab випустила засоби виявлення загроз для клієнтів із самостійно керованими інсталяціями після фіксації спроб експлуатації.

CISA додало CVE-2026-97229 до каталогу Known Exploited Vulnerabilities, який охоплює вразливості з підтвердженою експлуатацією. Американським федеральним відомствам наказали захистити свої сервери до неділі відповідно до обов’язкової директиви BOD 26-04. Агентство також порадило командам кібербезпеки у приватному секторі надати встановленню оновлень пріоритет.

Сервіс Shadowserver відстежує майже 2 800 доступних з інтернету інсталяцій GitLab Community Edition, однак не уточнює, скільки з них уже захищені від атак.