GitLab usuwa podatność CVE-2026-97229 z oceną 10.0, pozwalającą uruchomić kod na serwerze

GitLab wydał poprawki do wersji CE i EE, usuwając 24 problemy bezpieczeństwa, w tym podatność CVE-2026-97229 w kompilatorze wyrażeń regularnych CI/CD. Nieuwierzytelniony atakujący mógł uruchomić dowolny kod na serwerze.

GitLab opublikował 12 października 2026 r. wersje 19.4.2, 19.3.4 i 19.2.8 swoich edycji Community Edition (CE) i Enterprise Edition (EE). Usuwają one 24 problemy bezpieczeństwa, a najpoważniejszy z nich to CVE-2026-97229 z oceną CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 10.0 w kompilatorze wyrażeń regularnych CI/CD. Według CERT-EUCERT-EU Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC. słabe sprawdzanie wyrażeń prowadzi do przepełnienia liczby całkowitej, a odpowiednio spreparowane wyrażenie w konfiguracji CI/CD może wywołać wykonanie kodu. GitLab opisuje, że w pewnych warunkach pozwalało to nieuwierzytelnionemu użytkownikowi uruchomić dowolny kod na serwerze GitLab.

PodatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. zgłosił badacz posługujący się nazwą joaxcar, przez program bug bounty GitLaba w serwisie HackerOne. Zagrożone są samodzielnie utrzymywane instancje w wersjach starszych niż poprawione. BleepingComputer podaje przedziały od 19.2 do wersji przed 19.2.8, od 19.3 do przed 19.3.4 i od 19.4 do przed 19.4.2, a CERT-EU pisze ogólnie o wersjach przed poprawionymi. GitLab.com działa już na wersji z poprawką, a klienci GitLab Dedicated nie muszą nic robić.

Jeśli twój podmiot sam utrzymuje GitLab CE lub EE, sprawdź wersję i zaktualizuj ją do jednej z poprawionych. CERT-EU zaleca zacząć od instancji dostępnych z internetu. Ta sama wersja usuwa też m.in. CVE-2026-92883 (ocena 8.7, wykonanie JavaScriptu w przeglądarkach innych użytkowników przez spreparowane repozytorium), CVE-2026-16301 (ocena 8.5, uruchamianie pipeline’ów na chronionych gałęziach bez uprawnień) oraz błąd zatruwania pamięci podręcznej oceniony na 8.2, który mógł ujawnić chronione zmienne CI/CD.

BleepingComputer przypomina, że miesiąc wcześniej GitLab naprawił inną podatność o maksymalnej wadze, CVE-2026-85706, pozwalającą nieuwierzytelnionym atakującym odczytać z serwerów dane wrażliwe, w tym poświadczenia. Dzień później CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. dodała ją do katalogu podatności wykorzystywanych w atakach. Od listopada 2021 r. CISA oznaczyła pięć podatności GitLaba użytych w atakach, z czego jedna była wykorzystywana przez grupy ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem..

Aktualizacja z 14 października 2026

Sprostowanie wersji: opublikowany tekst podawał wśród poprawionych wydań 19.3.4, a według strony GitLaba o wydaniu z 12 października 2026 r. poprawioną wersją w tej gałęzi jest 19.3.5. GitLab opisuje, że wersja 19.3.4 miała błąd dotyczący stron merge requestów przy włączonej integracji Ona, i naprawił go w 19.3.5. Poprawione wydania to zatem 19.4.2, 19.3.5 i 19.2.8.

Zmienia to też granice podatnych wersji. Według GitLaba CVE-2026-97229 dotyczy wszystkich wersji od 19.2 przed 19.2.8, od 19.3 przed 19.3.5 i od 19.4 przed 19.4.2. Przedział z BleepingComputer, kończący się przed 19.3.4, jest więc nieaktualny, a wersja 19.3.4 mieści się w zakresie podatnych. Jeśli twoja instancja działa na 19.3.4, zaktualizuj ją do 19.3.5. GitLab zaleca aktualizację wszystkich samodzielnie utrzymywanych instalacji do jednej z tych wersji niezwłocznie.

Aktualizacja z 14 października 2026, godz. 13:18

Doszły informacje o stanie wykorzystania podatności. Cybersecurity Dive pisze, że nie wiadomo, czy atakujący zaczęli wykorzystywać CVE-2026-97229, a CISA nie dodała jej do swojego katalogu do rana w poniedziałek 12 października 2026 r. SecurityOnline podaje, że komunikat GitLaba nie zgłasza wykorzystania w atakach i że nie potwierdzono publicznego proof-of-concept. Ten sam serwis wskazuje powiązaną podatność w tym samym komponencie, CVE-2026-93577 (ocena 9.9), załataną 24 września. W odróżnieniu od nowej wymagała ona uwierzytelnionego użytkownika.

Jedno ze źródeł przeczy opublikowanemu tekstowi co do daty. SecurityOnline podaje jako datę wydania 8 października 2026 r., a nasz tekst i Cybersecurity Dive wskazują 12 października. Ten sam serwis podaje też wersję 19.3.4 jako poprawioną, co po sprostowaniu wyżej jest nieaktualne.

Noted informuje, że poprawki zawierają migracje bazy danych, więc instalacje jednowęzłowe będą w trakcie aktualizacji niedostępne. Przed aktualizacją zrób kopię zapasową. SecurityOnline radzi po aktualizacji przejrzeć ostatnie zmiany w konfiguracji CI/CD pod kątem nietypowych wyrażeń regularnych i zmienić sekrety CI/CD, jeśli podejrzewasz naruszenie. GitLab ma opublikować pełne szczegóły podatności 90 dni po wydaniu poprawek.

Źródła

• BleepingComputer: GitLab warns of max severity code execution vulnerability
• CERT-EU: 2026-016: Critical Vulnerability in GitLab CE and EE
• GitLab Docs: GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8 | GitLab Docs
• Cybersecurity Dive: GitLab fixes critical vulnerability that exposed software environments to sabotage
• SecurityOnline: GitLab Patches CVE-2026-97229 (CVSS 10.0) Flaw That Lets Unauthenticated Attackers Execute Arbitrary Code
• Noted: GitLab Patches Critical Remote Code Execution Flaw

Pojęcia w tym tekście (5)

CVSS

Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.

CERT-EU

Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC.

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

CISA

Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

Ransomware

Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 12 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.