Ing. Calogero Bono
12 октября 2026 года GitLab выпустил версии 19.4.2, 19.3.5 и 19.2.8 для Community Edition и Enterprise Edition. В них есть исправление CVE-2026-97229, уязвимости с оценкой CVSS 10.0, которая может привести к выполнению произвольного кода на сервере. В четверг американская CISA подтвердила активную эксплуатацию и внесла уязвимость в каталог KEV. Если ты сам поддерживаешь свой экземпляр GitLab, нужно обновиться немедленно.
Несколько терминов, прежде чем перейти к фактам. CVE это код, который идентифицирует публичную уязвимость. CVSS это оценка серьёзности от 0 до 10. CI/CD обозначает автоматические конвейеры, которые собирают, тестируют и публикуют код. KEV это каталог CISA с уязвимостями, которые уже использовались в реальных атаках. RCE означает удалённое выполнение кода, то есть запуск команд на сервере другого человека.
Что такое CVE-2026-97229?
Согласно официальной странице GitLab, это проблема целочисленного переполнения в компиляторе регулярных выражений, который используется в конфигурациях CI/CD. В определённых условиях неаутентифицированный пользователь мог выполнить произвольный код на сервере с помощью специально составленного регулярного выражения из-за недостаточной валидации.
Вектор CVSS предполагает сетевой доступ, низкую сложность, отсутствие привилегий и отсутствие взаимодействия пользователя. Поэтому оценка достигает 10.0. Об уязвимости сообщил joaxcar через программу bug bounty на HackerOne.
Кто её эксплуатирует?
Как сообщает BleepingComputer, CISA добавила уязвимость в KEV и попросила федеральные агентства защитить свои серверы до воскресенья. По данным The Hacker News, срок для гражданских агентств истекает 1 ноября 2026 года.
Включение в каталог связано с инцидентом, о котором сообщила Alpine Linux. Неизвестный злоумышленник безуспешно пытался эксплуатировать уязвимость на её экземпляре 20 и 21 октября 2026 года. Он отправил специально созданные CI-конфигурации и восемь раз вызвал падение рабочих процессов. В четырёх из этих случаев эксплойт провалился на следующем шаге. Атакующий также скачал контейнерный образ GitLab от Alpine. Новые попытки 25 и 26 октября были заблокированы.
Сопровождающие Alpine заявили – «The attack came close to working». Они добавили, что не нашли доказательств успеха, но не могут его исключить, и поэтому пересоздали экземпляр с нуля. По их словам, репозиторий aports, пакеты и релизы от 21 октября не были изменены.
Какие версии затронуты?
Для CVE-2026-97229 GitLab указывает все версии от 19.2 до исправления 19.2.8, от 19.3 до 19.3.5 и от 19.4 до 19.4.2. GitLab.com уже использует исправленную версию. Тенанты GitLab Dedicated были обновлены внутренним релизом до публикации.
GitLab также отмечает, что в 19.3.4 была ошибка на страницах merge request при включённой интеграции Ona. Она исправлена в 19.3.5. Кроме того, компания выпустила шесть правил обнаружения угроз, чтобы помочь тем, кто управляет self-managed экземплярами, выявлять попытки эксплуатации.
Другие уязвимости в том же патче
В релизе есть не только самый серьёзный случай. Среди других исправлений, с оценками, которые указала GitLab –
- CVE-2026-92883, межсайтовый скриптинг в подсветке синтаксиса, CVSS 8.7.
- CVE-2026-16301, пользователь с ролью Developer мог запускать конвейеры на защищённых ветках, CVSS 8.5.
- CVE-2026-14814, отравление кэша файлов raw с возможной утечкой защищённых переменных, CVSS 8.2.
- CVE-2026-81839, конвейеры выполнялись с привилегиями новой группы после переноса проекта (только EE), CVSS 7.7.
- CVE-2026-96893, внедрение в инструкции ИИ-агентов GitLab Duo (только EE), CVSS 7.3.
Есть также пять уязвимостей средней серьёзности, включая чтение закрытых заметок через GraphQL и утечку токенов в логах GitLab Pages. Полный список есть на официальной странице.
Ограничения, которые стоит знать
Мы не знаем, сколько экземпляров было скомпрометировано. Shadowserver, на которого ссылается BleepingComputer, отслеживает почти 2800 экземпляров Community Edition, открытых в интернет, но не сообщает, сколько из них уже обновлено. Эту цифру не стоит считать количеством уязвимых систем.
Из источников не известно, кто атакующий и есть ли другие случаи, кроме Alpine. Техническая деталь эксплойта не опубликована. GitLab публикует отчёты через 90 дней после выхода патча, поэтому подробности могут появиться позже.
Что это меняет для тех, кто работает с цифровыми технологиями
Если у тебя self-managed GitLab для студии или компании, приоритет один – версия. Уязвимость без аутентификации на сервере, где хранятся код, секреты и конвейеры, это реальный риск, в том числе для твоих клиентов. Если ты размещаешь репозиторий на GitLab.com, платформа уже защищает его.
Урок Alpine практический. Если ты не можешь исключить компрометацию, пересоздай экземпляр и смени секреты. Автоматизация установок помогает, как мы объясняем в руководстве по Ansible для конфигурации и деплоя. Для серверов также нужна дисциплина в обновлениях, о которой мы писали в случае с Fragnesia и PHP2Shell. Ещё один недавний пример сканирований после патча – Oracle E-Business Suite. Если у тебя нет времени следить за всем, есть хостинг и управляемые серверы с обновлениями безопасности.
Наше мнение
Этот случай показывает, насколько короткое время между патчем и атакой. Исправление вышло 12 октября, попытки на Alpine были 20-го, то есть через восемь дней. Тот, кто обновляется в следующем ежемесячном цикле, опаздывает.
Есть и критический момент. GitLab упоминается как используемый в более чем половине компаний из Fortune 100, а BleepingComputer перечисляет целый ряд уязвимостей максимальной серьёзности в тот же период, включая ещё две с максимальной оценкой. Для сервиса, который хранит код и секреты компании, такая частота имеет значение. Недостаточно сказать, что GitLab исправляет быстро, хотя так и есть. Тот, кто решает держать всё у себя, должен закладывать постоянный контроль или поручить его тем, кто занимается этим профессионально.
Часто задаваемые вопросы
Нужно ли обновить GitLab прямо сейчас?
Да, если экземпляр self-managed и относится к указанным версиям. GitLab рекомендует немедленно обновиться до 19.4.2, 19.3.5 или 19.2.8. Активную эксплуатацию подтвердила CISA.
Под угрозой ли GitLab.com?
Нет, по словам GitLab. GitLab.com уже использует исправленную версию, а тенанты Dedicated были обновлены до публичного релиза.
Нужна ли учётная запись для эксплуатации уязвимости?
Нет. Вектор CVSS указывает, что привилегии не требуются и взаимодействие пользователя не нужно. Атака проходит через специально составленную конфигурацию CI/CD.
Как понять, что на меня напали?
В источниках нет надёжного способа это определить. GitLab выпустил шесть правил обнаружения для self-managed экземпляров. Alpine заметила повторные падения рабочих процессов после необычных CI-конфигураций.
Достаточно ли просто обновиться?
Зависит от ситуации. Если экземпляр был открыт и не патчился в последние дни, нельзя исключать компрометацию. Alpine решила пересоздать его с нуля.
Что отслеживать в ближайшие недели, между патчами и проверками
В ближайшие дни важно понять, появятся ли другие случаи помимо Alpine и будут ли опубликованы технические детали. Три совета.
- Обновись до последней доступной версии для своей ветки и проверь номер версии после установки.
- Проверь логи рабочих процессов на повторные падения и необычные CI-конфигурации, используя правила обнаружения GitLab.
- Если экземпляр был открыт и не обновлён, смени токены и защищённые переменные и рассмотри пересоздание.
