O GitLab alertou hoje os usuários para aplicarem imediatamente uma correção de segurança para uma vulnerabilidade crítica no compilador de expressões regulares de CI/CD. A falha pode permitir que invasores remotos executem código arbitrário em instâncias vulneráveis.
Identificada como CVE-2026-97229, a falha foi descoberta por um pesquisador de segurança que usa o nome “joaxcar” e comunicada por meio do programa de bug bounty do GitLab, na plataforma HackerOne.
A vulnerabilidade decorre de um estouro de inteiro no compilador de expressões regulares de CI/CD do GitLab, que analisa, compila e avalia expressões regulares nos arquivos de configuração dos pipelines de CI/CD dos projetos.
“Corrigimos um problema que, em determinadas condições, poderia permitir que um usuário não autenticado executasse código arbitrário no servidor do GitLab por meio de uma expressão regular especialmente criada em uma configuração de CI/CD, devido à validação insuficiente de expressões regulares”, informou a empresa em um comunicado divulgado na segunda-feira.
A falha foi corrigida nas versões Community Edition (CE) e Enterprise Edition (EE) 19.2.8, 19.3.4 e 19.4.2. O GitLab recomendou que os usuários atualizem seus servidores imediatamente.
“Essas versões incluem correções importantes de bugs e segurança. Recomendamos fortemente que todas as instalações autogerenciadas do GitLab sejam atualizadas imediatamente para uma dessas versões”, alertou a empresa. “O GitLab.com já está executando a versão corrigida. Clientes do GitLab Dedicated não precisam tomar nenhuma providência.”
A CVE-2026-97229 é a mais recente de uma série de vulnerabilidades corrigidas pelo GitLab nos últimos meses. Em janeiro, a empresa corrigiu uma falha de alta gravidade que permitia contornar a autenticação de dois fatores (CVE-2026-0723). Invasores que conhecessem o identificador da conta do alvo podiam burlar essa proteção em servidores das edições Community e Enterprise.
No mês passado, o GitLab também corrigiu outra vulnerabilidade crítica, a CVE-2026-85706, que permitia a invasores não autenticados ler dados confidenciais, como credenciais e outros segredos, em servidores vulneráveis.
Um dia depois, a Cybersecurity and Infrastructure Security Agency (CISA) incluiu a CVE-2026-85706 em seu catálogo de falhas exploradas em ataques reais e determinou que órgãos federais protegessem seus sistemas em até três dias.
Desde novembro de 2021, a CISA identificou cinco vulnerabilidades do GitLab exploradas em ataques. Uma delas foi usada por grupos de ransomware.
Segundo o GitLab, mais de 30 milhões de usuários registrados e mais da metade das empresas da lista Fortune 100 usam sua plataforma DevSecOps. Entre elas estão Nvidia, T-Mobile, Lockheed Martin, Airbus e Goldman Sachs.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...