CVE-2026-97229: уязвимость в GitLab активно используется в атаках

Более тысячи серверов GitLab, имеющих доступ к интернету, до сих пор не обновлены и остаются уязвимыми перед критической уязвимостью удаленного выполнения кода (RCE). Проблема отслеживается под идентификатором CVE-2026-97229 и представляет серьезную угрозу для корпоративных систем по всему миру.

• Уязвимость CVE-2026-97229 связана с переполнением целых чисел в компиляторе регулярных выражений CI/CD;
• Компания GitLab выпустила патчи еще 12 октября для версий 19.4.2, 19.3.5 и 19.2.8;
• Агентство CISA внесло брешь в каталог эксплуатируемых уязвимостей (KEV) и потребовало принять меры;
• Сервис Shadowserver фиксирует более 1000 уязвимых и незащищенных инстансов в сети.

Суть уязвимости и масштаб угрозы

Проблема кроется в CI/CD Regular Expression Compiler, который отвечает за синтаксический анализ и оценку регулярных выражений в конфигурационных файлах пайплайнов. Из-за недостаточной валидации входных данных неавторизованный злоумышленник может передать специально сформированное регулярное выражение и выполнить произвольный код на сервере GitLab. Уязвимость получила максимальный уровень опасности.

Компания GitLab устранила эту ошибку 12 октября, выпустив обновления безопасности для Community Edition (CE) и Enterprise Edition (EE) версий 19.4.2, 19.3.5 и 19.2.8. Облачная платформа GitLab.com уже работает на защищенной версии, а клиенты GitLab Dedicated не нуждаются в дополнительных действиях. Однако администраторы self-hosted серверов столкнулись с необходимостью срочного обновления.

Реакция властей и статистика атак

В минувшую пятницу Агентство по кибербезопасности и инфраструктурной защите США (CISA) официально подтвердило факты эксплуатации данной уязвимости в реальных условиях. Ведомство добавило CVE-2026-97229 в свой каталог известных эксплуатируемых уязвимостей (KEV) и обязало федеральные агентства закрыть брешь в кратчайшие сроки.

Несмотря на предупреждения, эксперты по кибербезопасности из организации Shadowserver сообщили во второй половине недели, что они все еще отслеживают более 1000 незапатченных серверов GitLab, которые остаются открытыми для непрекращающихся атак. Для сравнения, другая недавняя критическая ошибка компилятора регулярных выражений (CVE-2026-110264) затрагивала более 11 300 экземпляров.

Контекст безопасности GitLab

CVE-2026-97229 продолжает череду инцидентов безопасности, с которыми платформа столкнулась за последнее время. Ранее в текущем году разработчики устраняли брешь обхода двухфакторной аутентификации (CVE-2026-0723), уязвимость в API репозиториев для кражи учетных данных (CVE-2026-85706), а также другие критические ошибки компилятора.

С ноября 2021 года CISA добавила уже шесть различных уязвимостей GitLab в свой список активно эксплуатируемых угроз, причем одна из них ранее использовалась злоумышленниками в атаках программами-вымогателями. Платформа DevSecOps насчитывает свыше 70 миллионов пользователей и используется более чем половиной компаний из списка Fortune 100, что делает инфраструктуру главной мишенью для хакеров.