Критическая уязвимость в GitLab позволяет неавторизованному пользователю выполнить код на сервере

Разработчики GitLab выпустили экстренные патчи для критической уязвимости CVE-2026-97229, которая позволяла без аутентификации выполнять произвольный код на стороне сервера. Проблема затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE) и получила максимальную оценку по шкале CVSS — 10 баллов из 10 возможных.

Уязвимость связана с целочисленным переполнением в компиляторе регулярных выражений CI/CD (Regular Expression Compiler), компоненте, который отвечает за обработку регулярных выражений в конфигурациях CI/CD-пайплайнов.

Из-за некорректной проверки регулярных выражений при определенных условиях атакующий мог внедрить специально подготовленное выражение в конфигурацию CI/CD и добиться выполнения произвольного кода на сервере GitLab. При этом злоумышленнику не требовалась аутентификация.

Согласно официальному бюллетеню безопасности, уязвимость затрагивает следующие версии GitLab CE и EE:

• 19.2 — до 19.2.8;
• 19.3 — до 19.3.5;
• 19.4 — до 19.4.2.

Исправления вошли в состав версий 19.4.2, 19.3.5 и 19.2.8, и теперь разработчики настоятельно рекомендуют администраторам как можно скорее установить обновления. Также отмечается, что облачный сервис GitLab.com уже использует исправленную версию, и клиентам GitLab Dedicated никаких действий предпринимать не нужно.

Помимо CVE-2026-97229, вышедшие обновления устраняли ряд других багов, включая три серьезные уязвимости:

• CVE-2026-92883 (8,7 балла по шкале CVSS) — XSS-баг, позволявший авторизованному атакующему выполнять произвольный JavaScript в браузерах других пользователей через специально подготовленный репозиторий.
• CVE-2026-16301 (8,5 балла по шкале CVSS) — некорректная проверка прав доступа, из-за которой пользователь с ролью Developer имел возможность запускать CI/CD-пайплайны в защищенных ветках без соответствующих разрешений.
• CVE-2026-14814 (8,2 балла по шкале CVSS) — ошибка при обработке регулярных выражений, позволявшая атакующему подменять кешированные ответы при обращении к файлам репозитория. В результате CI/CD-пайплайны других пользователей могли выполнить подготовленный злоумышленником код, что потенциально грозило раскрытием защищенных переменных окружения.

Напомним, что в сентябре 2026 года разработчики GitLab устранили другую критическую уязвимость — CVE-2026-85706, тоже получившую максимальные 10 баллов по шкале CVSS. Эта проблема позволяла атакующим без аутентификации читать произвольные данные с серверов, включая пароли и другие секреты. Вскоре после раскрытия информации об уязвимости ИБ-специалисты зафиксировали попытки ее эксплуатации.