GitLab 19.4.2: RCE critică CVE-2026-97229 în regex CI/CD

📌 Evoluții ulterioare: GitLab CVE-2026-110264: și injecție LDAP și request smuggling (22 octombrie 2026) · GitLab 19.5.1: nouă RCE fără autentificare, CVE-2026-110264 (22 octombrie 2026) · GitLab CVE-2026-97229: Rapid7 reproduce RCE, e nevoie de 19.3.5 (12 octombrie 2026)

Pe 12 octombrie 2026, GitLab a publicat versiunile 19.4.2, 19.3.4 și 19.2.8 ale GitLab Community Edition (CE) și Enterprise Edition (EE). Potrivit avizului 2026-016 al CERT-EU, actualizările corectează 24 de probleme de securitate, printre care o vulnerabilitate critică ce poate permite unui atacator neautentificat să execute cod arbitrar pe server. În aceeași zi, CERT-FR a publicat avizul CERTFR-2026-AVI-1294, care enumeră 24 de identificatori CVE.

În septembrie, ARX News a tratat CVE-2026-85706, vulnerabilitatea de tip path traversal deja exploatată, corectată în versiunile 19.1.8, 19.2.6 și 19.3.2. Versiunile corectate atunci sunt afectate și de aceste noi vulnerabilități: dacă te-ai oprit la ele, trebuie să actualizezi din nou.

Ce s-a întâmplat

Potrivit CERT-EU, cea mai gravă vulnerabilitate, CVE-2026-97229, cu scor CVSS 10.0, se află în compilatorul de expresii regulate CI/CD. O validare slabă a expresiilor regulate duce la un integer overflow; o expresie creată special într-o configurație CI/CD poate apoi declanșa execuția de cod. Avizul nu descrie cum reușește atacatorul să facă expresia să fie procesată.

CERT-EU recomandă insistent actualizarea cât mai rapidă a tuturor instanțelor self-managed de GitLab CE/EE, începând cu cele expuse pe internet. Niciuna dintre cele două surse nu semnalează o exploatare în curs.

Detalii tehnice

Celelalte vulnerabilități descrise de CERT-EU:

• CVE-2026-92883 (CVSS 8.7): cross-site scripting în evidențierea sintaxei; un utilizator autentificat poate rula JavaScript arbitrar în browserul altor utilizatori prin intermediul unui repository creat special.
• CVE-2026-16301 (CVSS 8.5): o problemă de autorizare care permite unui utilizator cu rol de developer să ruleze pipeline-uri pe branch-uri protejate fără permisiune.
• încă 21 de probleme, printre care o problemă de cache poisoning cu scor 8.2, care poate expune variabilele CI/CD protejate.

CERT-FR nu descrie vulnerabilitățile una câte una, dar indică riscurile de ansamblu: execuție de cod arbitrar de la distanță, încălcarea confidențialității și integrității datelor, ocolirea politicii de securitate, server-side request forgery (SSRF) și cross-site scripting (XSS).

Versiuni afectate potrivit CERT-FR:

• GitLab CE și EE 19.4.x anterioare versiunii 19.4.2;
• GitLab CE și EE 19.3.x anterioare versiunii 19.3.4;
• GitLab CE și EE anterioare versiunii 19.2.8.

CERT-EU indică aceleași praguri pentru instanțele self-managed. Avizele nu menționează corecturi pentru ramura 19.1: și versiunea 19.1.8 este anterioară versiunii 19.2.8.

Versiuni corectate: 19.4.2, 19.3.4 și 19.2.8.

CVE enumerate de CERT-FR: CVE-2026-100104, CVE-2026-100755, CVE-2026-101168, CVE-2026-103549, CVE-2026-104661, CVE-2026-105458, CVE-2026-14210, CVE-2026-14552, CVE-2026-14814, CVE-2026-16275, CVE-2026-16301, CVE-2026-5954, CVE-2026-6567, CVE-2026-7767, CVE-2026-78335, CVE-2026-81839, CVE-2026-82632, CVE-2026-84284, CVE-2026-85529, CVE-2026-92528, CVE-2026-9268, CVE-2026-92883, CVE-2026-96893, CVE-2026-97229.

Ambele avize trimit la buletinul GitLab din 12 octombrie 2026 (patch release 19.4.2) pentru detaliile fiecărei corecturi.

Impactul pentru companiile europene și italiene

Un server GitLab conține de obicei cod sursă, configurațiile pipeline-urilor și credențiale pentru integrări. Vulnerabilitatea critică afectează chiar motorul CI/CD, iar printre celelalte corecturi se numără un acces neautorizat la pipeline-urile branch-urilor protejate și o posibilă expunere a variabilelor CI/CD protejate: sunt locurile în care se păstrează de obicei secretele folosite pentru lansări.

Pentru entitățile care intră sub incidența NIS2, gestionarea vulnerabilităților și securitatea lanțului de aprovizionare cu software fac parte din măsurile cerute. O instanță GitLab compromisă poate afecta și software-ul livrat clienților și partenerilor. În cazul unui incident semnificativ, în Italia notificarea se face către CSIRT Italia din cadrul ACN.

Ce să faci acum

1. Inventar: identifică toate instanțele GitLab self-managed, cu ediția (CE sau EE) și versiunea, și verifică pe care le poți accesa de pe internet.
2. Actualizează: adu fiecare instanță la 19.4.2, 19.3.4 sau 19.2.8, ori la versiuni ulterioare, începând cu cele expuse pe internet, așa cum recomandă CERT-EU. Instanțele actualizate în septembrie la 19.1.8, 19.2.6 sau 19.3.2 trebuie actualizate din nou.
3. Ramura 19.1: avizele nu indică o versiune corectată; treci cel puțin la 19.2.8.
4. Consultă buletinul GitLab din 12 octombrie 2026 pentru detaliile fiecărui CVE și eventualele indicații ale producătorului.
5. Verifică pipeline-urile: după actualizare, verifică în jurnale pipeline-urile rulate recent pe branch-urile protejate și modificările configurațiilor CI/CD. Dacă găsești activitate anormală, consideră expuse secretele folosite de pipeline-uri și înlocuiește-le.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o instanță GitLab poate fi accesată din exterior. ARX Shield enumeră vulnerabilitățile deschise de pe mașinile monitorizate. ARX Sentry colectează jurnale și evenimente de pe serverele pe care este instalat agentul și controlează integritatea fișierelor din folderele stabilite. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților.

Ultima actualizare: 12 octombrie 2026