A GitLab alertou seus usuários sobre uma vulnerabilidade de segurança crítica, com o grau máximo de severidade, no componente CI/CD Regular Expression Compiler, que pode permitir que um invasor remoto e não autenticado execute código arbitrário em um servidor GitLab visado. A vulnerabilidade recebeu o identificador CVE-2026-97229 e foi descoberta por um pesquisador de segurança que usa o pseudônimo joaxcar, que a comunicou por meio do programa de recompensas por vulnerabilidades da HackerOne.
Como a vulnerabilidade funciona?
O problema está relacionado a uma falha do tipo estouro de inteiro dentro do compilador de expressões regulares, componente que analisa, compila e avalia expressões regulares em arquivos de configuração de pipelines de CI/CD. Segundo um comunicado da GitLab, em determinadas circunstâncias, a validação insuficiente de expressões regulares pode ser explorada por meio de uma expressão especialmente criada dentro das configurações de CI/CD, permitindo que um usuário não autenticado execute código em um servidor GitLab.
Versões afetadas e atualizações
A GitLab corrigiu o problema nas edições Community Edition e Enterprise Edition nas seguintes versões:
- Versão 19.2.8 ou posterior, em vez das versões anteriores à 19.2.8.
- Versão 19.3.4 ou posterior, em vez das versões anteriores à 19.3.4.
- Versão 19.4.2 ou posterior, em vez das versões anteriores à 19.4.2.
A empresa recomenda que todos os usuários de instalações autogerenciadas do GitLab atualizem imediatamente para uma dessas versões, que também incluem correções de erros e vulnerabilidades de segurança. O serviço GitLab.com já opera com a versão corrigida, e os clientes do GitLab Dedicated não precisam tomar nenhuma medida, segundo a empresa.
Por que esta notícia é importante?
A importância da vulnerabilidade está no fato de que sua exploração não exige autenticação, enquanto um ataque bem-sucedido pode resultar na execução de código em um servidor que hospeda projetos e pipelines de CI/CD. Portanto, o impacto prático concentra-se nos ambientes que administram o GitLab por conta própria, e não nos usuários do GitLab.com ou do GitLab Dedicated, de acordo com as informações disponíveis.
Essa correção ocorre após uma série de vulnerabilidades corrigidas pela GitLab nos últimos meses. Em janeiro, a empresa corrigiu uma vulnerabilidade de alta gravidade que permitia contornar a autenticação de dois fatores, identificada como CVE-2026-0723, enquanto no mês passado corrigiu outra vulnerabilidade com o grau máximo de severidade, a CVE-2026-85706, que permitia que invasores não autenticados lessem dados confidenciais, incluindo credenciais e segredos, dos servidores afetados.
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) adicionou a vulnerabilidade CVE-2026-85706 ao catálogo de vulnerabilidades exploradas na prática um dia depois de sua correção e solicitou que as agências federais protegessem seus sistemas no prazo de três dias. As informações publicadas também indicaram que a CISA identificou a exploração de cinco vulnerabilidades do GitLab em ataques desde novembro de 2021, incluindo uma vulnerabilidade usada por grupos que realizam ataques de ransomware.
A fonte não confirma que a nova vulnerabilidade CVE-2026-97229 tenha sido explorada na prática até o momento. Portanto, a medida confirmada continua sendo a atualização urgente das versões autogerenciadas e a revisão das configurações de CI/CD relacionadas.