Критична вразливість CVE-2026-97229 у GitLab CE/EE дає змогу виконати код на сервері без автентифікації

GitLab випустив екстрені оновлення для усунення CVE-2026-97229 — критичної вразливості з максимальною оцінкою 10.0 балів за шкалою CVSS, яка дає змогу неавтентифікованому зловмиснику виконати довільний код на сервері GitLab. Проблема зачіпає GitLab Community Edition і Enterprise Edition версій 19.2–19.4. Адміністраторам самостійно розгорнутих інстансів GitLab необхідно негайно встановити патчі: виправлення доступні у версіях 19.2.8, 19.3.5 і 19.4.2. Хмарний сервіс GitLab.com, за даними вихідного бюлетеня, вже оновлено.

Технічні деталі CVE-2026-97229

Згідно з записом у GitHub Advisory Database, вразливість класифіковано як CWE-190 (Integer Overflow or Wraparound) — цілочисельне переповнення в компоненті обробки регулярних виразів конфігурацій CI/CD. За певних умов зловмисник міг впровадити спеціально підготовлений регулярний вираз у конфігурацію пайплайна й домогтися виконання довільного коду на стороні сервера. Критично важливо: для експлуатації не вимагалася автентифікація.

Зачеплені версії GitLab CE/EE:

• 19.2 — усі версії до 19.2.8;
• 19.3 — усі версії до 19.3.5;
• 19.4 — усі версії до 19.4.2.

Записи в NVD і CVE Program підтверджують критичний рівень серйозності. На момент публікації незалежних свідчень активної експлуатації CVE-2026-97229 у дикій природі не виявлено, і вразливість не внесено до каталогу CISA KEV. Втім, відсутність даних про експлуатацію не означає, що вона не відбувається — максимальна оцінка CVSS і відсутність вимоги автентифікації роблять цю вразливість привабливою ціллю.

Супутні вразливості в тому ж оновленні

Патч-реліз GitLab 19.4.2 усуває ще кілька серйозних вразливостей, підтверджених незалежними джерелами:

• CVE-2026-92883 (CVSS 8.7) — міжсайтовий скриптинг (XSS), що дає змогу автентифікованому атакувальнику виконувати довільний JavaScript у браузерах інших користувачів через спеціально підготовлений репозиторій. Проблема пов’язана з некоректною санітизацією HTML-атрибутів у підсвічуванні синтаксису. Підтверджена офіційним записом CVE.
• CVE-2026-16301 (CVSS 8.5, за даними вихідного бюлетеня) — порушення перевірки прав доступу, через яке користувач з роллю Developer міг запускати CI/CD-пайплайни в захищених гілках без відповідних дозволів. Зачіпає гілки, починаючи з 18.7, що підтверджено записом у GitHub Advisory Database.

Важливий контекст: різниця зон ризику

Адміністраторам варто враховувати, що поточний патч-реліз охоплює вразливості з різним покриттям гілок. CVE-2026-97229 зачіпає гілки 19.2–19.4, тоді як раніше розкрита CVE-2026-85706 — інша критична вразливість GitLab з оцінкою CVSS 10.0, що давала змогу неавтентифікованому користувачеві читати довільні файли через API комітів, — охоплювала гілки, починаючи з 18.7 і до 19.3. CVE-2026-85706 внесено до каталогу CISA KEV з датою додавання 11 вересня 2026 року та строком усунення 14 вересня 2026 року, що свідчить про підтверджену експлуатацію в дикій природі. Подробиці про цю вразливість доступні в GitHub Advisory, а ми вже писали про цю вразливість раніше.

Це означає, що підхід до усунення має бути диференційованим: організації на гілках 18.7–19.1 можуть не бути зачеплені CVE-2026-97229, але мали усунути CVE-2026-85706 ще у вересні. Організації на гілках 19.2–19.4 піддаються обом загрозам.

Рекомендації

1. Негайно оновіть самостійно розгорнуті інстанси GitLab CE/EE до версій 19.4.2, 19.3.5 або 19.2.8 залежно від використовуваної гілки. Інформація про патч доступна в офіційному бюлетені GitLab.
2. Перевірте конфігурації CI/CD-пайплайнів на наявність підозрілих або нетипових регулярних виразів — це може вказувати на спроби експлуатації CVE-2026-97229.
3. Проведіть ретроспективний аналіз логів, особливо якщо ваш інстанс був доступний з інтернету. Зверніть увагу на незвичні звернення до API комітів (для CVE-2026-85706) і на створення чи модифікацію CI/CD-конфігурацій невідомими користувачами (для CVE-2026-97229).
4. Якщо інстанс працював на вразливій версії в період до виходу патча й був публічно доступний, виконайте ротацію секретів: токенів доступу, змінних середовища CI/CD і ключів розгортання.
5. Клієнтам GitLab.com і GitLab Dedicated, за даними вихідного бюлетеня, дій вживати не потрібно.

Дві критичні вразливості з максимальною оцінкою CVSS 10.0 в GitLab за останні два місяці — CVE-2026-85706 у вересні та CVE-2026-97229 у жовтні — підкреслюють необхідність оперативного управління патчами для самостійно розгорнутих інстансів. Пріоритет — негайне оновлення до виправлених версій і ретроспективна перевірка на ознаки компрометації, особливо для серверів із публічним доступом.