Drošības nepilnība, kas reģistrēta kā CVE-2026-97229, ir saistīta ar GitLab CI/CD Regular Expression Compiler — komponenti, kas projektu konveijera konfigurācijas failos analizē, kompilē un izpilda regulārās izteiksmes. GitLab to klasificējis kā maksimālas nopietnības jeb kritisku ievainojamību.

Problēmu izraisīja vesela skaitļa pārpildes kļūda un nepietiekama regulāro izteiksmju validācija. Noteiktos apstākļos neautentificēts lietotājs varēja izmantot īpaši izveidotu regulāro izteiksmi CI/CD konfigurācijā, lai izpildītu patvaļīgu kodu GitLab serverī. Ievainojamību atklāja drošības pētnieks, kurš izmanto segvārdu “joaxcar”, un par to tika ziņots GitLab HackerOne kļūdu atlīdzības programmā.

Labojumi jāuzstāda pašpārvaldītās instalācijās

GitLab norādīja, ka drošības problēma ir novērsta Community Edition (CE) un Enterprise Edition (EE) versijās 19.2.8, 19.3.4 un 19.4.2, kā arī jaunākās šo zaru versijās. Ietekmētas bija attiecīgi 19.2 versijas pirms 19.2.8, 19.3 versijas pirms 19.3.4 un 19.4 versijas pirms 19.4.2.

Uzņēmums aicināja pašpārvaldīto GitLab instalāciju lietotājus nekavējoties jaunināt serverus uz kādu no labotajām versijām, jo tajās iekļauti arī citi būtiski kļūdu un drošības labojumi. “GitLab.com” jau darbojas ar laboto versiju, savukārt GitLab Dedicated klientiem nekādas darbības nav jāveic.

Jaunākais incidents virknē GitLab drošības problēmu

CVE-2026-97229 ir jaunākā no vairākām ievainojamībām, ko GitLab pēdējos mēnešos novērsis. Janvārī uzņēmums salaboja augstas nopietnības divu faktoru autentifikācijas apiešanas ievainojamību CVE-2026-0723. Tā uzbrucējiem, kuri zināja mērķa konta identifikatoru, ļāva apiet divu faktoru autentifikāciju GitLab Community Edition un Enterprise Edition serveros.

Pagājušajā mēnesī GitLab novērsa vēl vienu maksimālas nopietnības ievainojamību — CVE-2026-85706. Tā ļauj neautentificētiem uzbrucējiem no ievainojamiem serveriem nolasīt sensitīvus datus, tostarp piekļuves akreditācijas datus un citus noslēpumus.

Dienu vēlāk ASV Kiberdrošības un infrastruktūras drošības aģentūra (CISA) iekļāva CVE-2026-85706 savā katalogā ar praksē izmantotām ievainojamībām un uzdeva federālajām iestādēm aizsargāt sistēmas trīs dienu laikā.

CISA kopš 2021. gada novembra uzbrukumos izmantoto ievainojamību katalogā iekļāvusi piecas GitLab problēmas. Vienu no tām izmantojušas arī izspiedējvīrusu bandas.

GitLab norāda, ka tā DevSecOps platformai ir vairāk nekā 30 miljoni reģistrētu lietotāju un to izmanto vairāk nekā puse Fortune 100 uzņēmumu, tostarp Nvidia, T-Mobile, Lockheed Martin, Airbus un Goldman Sachs.