Более 1000 доступных из интернета серверов GitLab до сих пор не получили исправление уязвимости максимального уровня опасности, которую злоумышленники используют для удаленного выполнения кода.
Серверы GitLab, уязвимые к CVE-2026-97229 и CVE-2026-110264, на карте Shadowserver. Изображение: Shadowserver
Уязвимость в обработке регулярных выражений
Уязвимость CVE-2026-97229 связана с целочисленным переполнением. Ее обнаружили в компиляторе регулярных выражений CI/CD, который разбирает и обрабатывает регулярные выражения в файлах конфигурации конвейеров.
12 октября компания выпустила исправления для GitLab Community Edition (CE) и Enterprise Edition (EE) в версиях 19.4.2, 19.3.5 и 19.2.8 и сообщила:
GitLab устранила проблему, которая при определенных условиях могла позволить пользователю без аутентификации выполнить произвольный код на сервере GitLab с помощью специально сформированного регулярного выражения в конфигурации CI/CD. Причиной была недостаточная проверка регулярных выражений.
Компания добавила:
Эти версии содержат важные исправления ошибок и уязвимостей. Мы настоятельно рекомендуем немедленно обновить все самостоятельно развернутые установки GitLab до одной из этих версий. На GitLab.com исправление уже установлено. Клиентам GitLab Dedicated ничего предпринимать не нужно.
Атаки выполняются
Агентство по кибербезопасности и защите инфраструктуры США (CISA) подтвердило, что злоумышленники начали использовать уязвимость в реальных атаках, и добавило CVE-2026-97229 в каталог известных эксплуатируемых уязвимостей (KEV). Федеральным ведомствам предписали защитить серверы до воскресенья – 1 ноября.
Хотя GitLab выпустила исправления три недели назад, организация Shadowserver за выходные выявила более 1000 необновленных серверов GitLab, доступных из интернета и подверженных продолжающимся атакам.
Другие уязвимости GitLab
CVE-2026-97229 стала очередной в серии уязвимостей GitLab, исправленных с начала года. В январе компания устранила уязвимость высокого уровня опасности CVE-2026-0723, позволявшую обходить двухфакторную аутентификацию. В сентябре она исправила уязвимость максимального уровня опасности CVE-2026-85706 в API коммитов репозитория, через которую можно похитить учетные данные и другие секреты.
CISA также подтвердило эксплуатацию CVE-2026-85706 в реальных атаках после того, как компания watchTowr сообщила о сканировании серверов GitLab в поисках уязвимых установок.
В прошлом месяце GitLab устранила еще одну уязвимость максимального уровня опасности в компиляторе регулярных выражений – CVE-2026-110264. Она позволяет злоумышленникам выполнять произвольный код на атакуемых серверах.
В Shadowserver сообщили:
Сейчас мы отслеживаем более 1000 установок GitLab, уязвимых к CVE-2026-97229, которая включена в каталог KEV CISA, и более 11 300 установок, уязвимых к CVE-2026-110264. Всего ежедневно мы видим около 39 тысяч установок GitLab.
Уязвимые серверы GitLab по странам, обе уязвимости вместе. Изображение: Shadowserver
С ноября 2021 года CISA включило в свой каталог активно эксплуатируемых уязвимостей шесть уязвимостей GitLab. Одну из них также использовали в атаках с программами-вымогателями.
По данным GitLab, на ее платформе DevSecOps зарегистрировано более 50 млн пользователей. Ею пользуется более половины компаний из списка Fortune 100.
