GitLab CVE-2026-97229 exploatată: CISA o include în KEV

📌 Evoluții ulterioare: GitLab CVE-2026-97229: atac asupra Alpine, trebuie actualizat Ruby (29 octombrie 2026)

Pe 29 octombrie 2026, agenția americană CISA a adăugat CVE-2026-97229 din GitLab Community Edition (CE) și Enterprise Edition (EE) în catalogul Known Exploited Vulnerabilities (KEV), lista vulnerabilităților exploatate în atacuri reale. Este vulnerabilitatea cu scor CVSS 10 din compilatorul de expresii regulate CI/CD despre care ARX News a scris pe 12 octombrie, când GitLab a corectat-o în versiunile 19.4.2, 19.3.5 și 19.2.8.

Situația se schimbă: la mijlocul lui octombrie, nici Rapid7, nici INCIBE-CERT nu semnalau atacuri în desfășurare. Informațiile noi din acest articol provin dintr-o singură sursă, fișa din catalogul KEV împreună cu înregistrarea NVD asociată.

Ce spune CISA

Fișa din catalogul KEV clasifică defectul drept „Integer Overflow or Wraparound” și indică:

• data includerii: 29 octombrie 2026;
• termen: 1 noiembrie 2026, termenul până la care agențiile federale americane trebuie să intervină, la trei zile după includere;
• utilizare în campanii ransomware: necunoscută („Unknown”);
• acțiune cerută: aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, cu respectarea directivei BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și a cerințelor CISA de triaj criminalistic („Forensics Triage Requirements”). Dacă măsurile de atenuare nu sunt disponibile, CISA indică renunțarea la utilizarea produsului și cere evaluarea expunerii pe Internet a fiecărui sistem.

Fișa nu descrie atacurile: nu spune de când este exploatată vulnerabilitatea, de cine sau împotriva căror ținte și nu conține indicatori de compromitere.

Detalii tehnice din înregistrarea NVD

Înregistrarea NVD, publicată pe 13 octombrie și actualizată pe 29 octombrie, este încă în analiză („Undergoing Analysis”). Ea conține:

• descriere: în anumite condiții, un utilizator neautentificat poate executa cod arbitrar pe serverul GitLab printr-o expresie regulată construită special într-o configurație CI/CD, din cauza unei validări insuficiente a expresiilor regulate;
• slăbiciune: CWE-190 (integer overflow sau wraparound);
• CVSS 3.1: 10.0, vector AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, atribuit de GitLab;
• versiuni afectate: de la 19.2 până la 19.2.8 exclusiv, de la 19.3 până la 19.3.5 exclusiv, de la 19.4 până la 19.4.2 exclusiv;
• referințe: buletinul patch release-ului 19.4.2 al GitLab, tichetul din tracker-ul GitLab și două rapoarte HackerOne cu acces restricționat.

Condițiile de exploatare descrise de Rapid7, prezentate deja în articolul de la mijlocul lui octombrie, rămân singurele publice: commit-ul unui fișier .gitlab-ci.yml malițios într-un proiect public, cu o cale în depozit care conține caractere UTF-8; pe instanțele care permit crearea de proiecte publice este suficient un cont obișnuit. CISA nu spune dacă atacurile urmează această schemă. În termeni MITRE ATT&CK, rămâne exploatarea unei aplicații expuse (T1190).

Versiunile din octombrie nu mai sunt suficiente

Versiunile 19.4.2, 19.3.5 și 19.2.8 corectează CVE-2026-97229, dar, potrivit avizului CERT-EU din 22 octombrie, sunt afectate de CVE-2026-110264, o altă vulnerabilitate cu scor CVSS 10 și execuție de cod fără autentificare, corectată de GitLab pe 21 octombrie. Pentru ramurile din înregistrarea NVD, versiunile care închid ambele defecte sunt 19.2.9, 19.3.6, 19.4.3 și 19.5.1 sau mai noi.

Așa cum am scris pe 22 octombrie, potrivit KISA doar ramurile 19.3, 19.4 și 19.5 au versiuni corectate și pentru alte două vulnerabilități din aceeași lansare (CVE-2026-15723 și CVE-2026-112212).

Înregistrarea NVD nu enumeră ramurile anterioare versiunii 19.2, iar sursele nu spun dacă acestea sunt afectate de CVE-2026-97229. Pentru CVE-2026-110264, CERT-EU indică drept primele versiuni neafectate 18.11.13, 19.0.10 și 19.1.9.

Impactul pentru companiile europene și italiene

Termenul de 1 noiembrie se aplică agențiilor federale americane. Pentru toți ceilalți, includerea în catalogul KEV înseamnă că vulnerabilitatea nu mai este doar teoretică.

Cele mai expuse sunt instanțele self-managed accesibile de pe Internet, mai ales cele cu înregistrare deschisă sau în care utilizatorii pot crea proiecte publice, condiția indicată de Rapid7. Potrivit indicațiilor GitLab relatate la mijlocul lui octombrie, GitLab.com folosește deja versiunea corectată, iar clienții GitLab Dedicated nu trebuie să facă nimic. Un server GitLab păstrează de obicei cod sursă, pipeline-uri de lansare și credențiale pentru integrări.

Pentru entitățile care intră sub incidența NIS2 rămâne valabil ce am scris deja: gestionarea vulnerabilităților, securitatea lanțului de aprovizionare software și, în cazul unui incident semnificativ, notificarea către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN).

Ce să faci acum

1. Inventar: identifică toate instanțele GitLab self-managed, cu ediția, versiunea și expunerea pe Internet, așa cum cere CISA.
2. Actualizează: adu fiecare instanță cel puțin la 19.2.9, 19.3.6, 19.4.3 sau 19.5.1, de preferat pe ramura 19.3 sau mai nouă, începând cu cele expuse pe Internet. Dacă ești la 19.2.8, 19.3.5 sau 19.4.2, ești protejat împotriva CVE-2026-97229, dar nu și împotriva CVE-2026-110264.
3. Ramuri anterioare versiunii 19.2: sursele nu indică o corecție pentru CVE-2026-97229; treci pe una dintre ramurile suportate menționate.
4. Verificarea compromiterii: CISA trimite la cerințele sale de triaj criminalistic. Caută modificările recente ale fișierelor .gitlab-ci.yml din proiectele publice, mai ales cele făcute de conturi noi sau puțin folosite, și căile din depozit cu caractere non-ASCII. Regulile de detecție publicate de GitLab pe 21 octombrie se referă la CVE-2026-110264: sursele nu spun dacă detectează și CVE-2026-97229. Nicio sursă nu oferă indicatori de compromitere.
5. Dacă găsești activitate suspectă: consideră serverul expus, înlocuiește secretele folosite de pipeline-uri și de integrări și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o instanță GitLab este accesibilă din exterior. ARX Shield enumeră vulnerabilitățile deschise pe mașinile monitorizate. ARX Sentry colectează jurnale și evenimente de pe serverele pe care este instalat agentul și verifică integritatea fișierelor din folderele stabilite. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților.

Ultima actualizare: 29 octombrie 2026