Американската агенция за киберсигурност CISA и екипът на GitLab потвърдиха, че уязвимост с максимална опасност 10 от 10 по системата за оценка CVSS вече се експлоатира от нападатели в интернет. Проблемът позволява на неоторизирани лица да изпълнят произволен код върху целевия сървър чрез манипулирани регулярни изрази в CI/CD конфигурациите. За компаниите, които поддържат собствени GitLab инсталации за управление на разработката, случаят изисква спешни мерки за обновяване.
Важно: Пробивът не изисква потребителско име или парола на компрометирания сървър. Достатъчно е изпращането на специално подготвена конфигурация, за да се задейства грешката и да се компрометира хостът.
Какво се случи и как действа дефектът
Уязвимостта се следи под идентификатор CVE-2026-97229 и е открита от изследовател с псевдоним joaxcar. Тя засяга компонента за компилиране на регулярни изрази в CI/CD конвейерите, който обработва и валидира конфигурационните файлове на проектите.
В основата на проблема стои грешка от тип препълване на цяло число (integer overflow) в Onigmo — библиотеката за регулярни изрази, използвана от езика Ruby. Поради недостатъчна валидация на подадените изрази, отдалечен нападател без валидна автентикация може да изпрати специално форматирана конфигурация и да постигне дистанционно изпълнение на произволен код (RCE — Remote Code Execution) директно на GitLab сървъра.
Реални опити за атака: случаят с Alpine Linux
По данни на проекта Alpine Linux, техният GitLab сървър е бил подложен на атака чрез CVE-2026-97229 на 20 и 21 октомври. Нападателите са използвали нов регистриран потребителски акаунт и са подавали манипулирани конфигурационни файлове, което е довело до сривове в работните процеси на сървъра. В 4 от тези случаи опитът за пробив е преминал част от етапите на експлоатация, преди да се провали.
Анализът на Alpine Linux показва, че нападателят е изтеглил и техния контейнерен образ, вероятно за да адаптира експлойта към точната системна компилация. Макар проверките на дистрибуцията да показват, че хранилищата с пакети не са манипулирани, екипът е преинсталирал цялата инстанция от нулата и е принудително нулирал потребителските пароли.
От Alpine Linux отправят важно предупреждение към администраторите: ако дадена организация стартира GitLab със собствена компилация на Ruby или в персонализиран контейнер, а не с официалните пакети на GitLab, обикновеното обновяване на платформата не решава проблема. В такива случаи е задължително самият софтуерен език Ruby да бъде обновен до версии 3.3.13, 3.4.12, 4.0.9 или по-нови.
Кои версии са засегнати и мащаб на риска
Проблемът засяга както безплатната версия GitLab Community Edition (CE), така и платената Enterprise Edition (EE). Компанията пусна официални корекции за версии 19.4.2, 19.3.5 и 19.2.8. Американската агенция CISA добави уязвимостта в каталога си с активно атакувани дефекти и нареди на държавните агенции по силата на директива BOD 26-04 да обезопасят инфраструктурата си в рамките на три дни.
По данни на анализаторите от организацията Shadowserver в глобалната мрежа са открити близо 2800 отворени към интернет инсталации на GitLab Community Edition. GitLab се използва от над 50% от компаниите в класацията Fortune 100 и обслужва повече от 70 милиона регистрирани потребители в цял свят, което прави подобни слабости предпочитана цел за пробиви.
Това е поредният сериозен инцидент за платформата след поправените наскоро уязвимости CVE-2026-0723 за заобикаляне на двуфакторна автентикация, CVE-2026-110264 за изпълнение на код и CVE-2026-85706, позволяваща четене на чувствителни данни през API за програмни хранилища.
Какво да направите сега: чеклист за действие
Преминете незабавно към GitLab CE или EE версии 19.4.2, 19.3.5 или 19.2.8.
Ако използвате собствен контейнер или инсталация от изходен код, обновете системния Ruby пакет до версия 3.3.13, 3.4.12, 4.0.9 или по-нова.
Спрете директния публичен достъп до портала за разработка и изисквайте връзка през защитена виртуална частна мрежа (VPN).
Проверете за регистрирани необичайни нови акаунти, чести сривове на worker процесите или съмнителни CI/CD задания след 12 октомври.
Препоръки за бизнеса
Сървърите за разработка и CI/CD конвейерите съхраняват изходен код, ключове за достъп и производствени тайни, което ги прави критична част от всяка фирмена инфраструктура. Забавянето на обновленията при дефекти с оценка 10/10 носи директен риск от пълен контрол върху сървъра. При необходимост от проверка на периметъра или спешна реакция по софтуерните обновления, екипът на Defend.bg може да съдейства на вашата организация за правилното изолиране и защита на инфраструктурата.
