Более 1000 доступных из интернета серверов GitLab всё ещё не закрыли уязвимость GitLab CVE-2026-97229, позволяющую удалённо выполнять код на сервере. Проблема уже используется в атаках, поэтому для команд, самостоятельно управляющих GitLab, это не очередной пункт в бэклоге обновлений, а повод проверить инстанс в ближайшие часы.
Как сообщает BleepingComputer, CVE-2026-97229 получила максимальный уровень критичности. Ошибка связана с целочисленным переполнением в компиляторе регулярных выражений CI/CD: этот компонент разбирает и обрабатывает регулярные выражения из конфигурации пайплайна. При определённых условиях злоумышленник без аутентификации может передать специально подготовленное регулярное выражение и добиться выполнения произвольного кода на GitLab-сервере.
Патчи GitLab выпустил 12 октября для Community Edition и Enterprise Edition: исправление вошло в версии 19.4.2, 19.3.5 и 19.2.8. Компания прямо рекомендовала владельцам self-managed-инсталляций обновиться немедленно. GitLab.com уже работает на исправленной версии, а клиентам GitLab Dedicated никаких действий предпринимать не требуется. Проблемная зона — именно самостоятельно развёрнутые экземпляры, особенно те, что опубликованы в интернете и нередко годами живут за VPN-исключениями, временными прокси и забытыми правилами доступа.
Сигнал стал ещё громче в конце октября: американское агентство CISA подтвердило эксплуатацию CVE-2026-97229 в реальных атаках и внесло её в каталог Known Exploited Vulnerabilities. Федеральным ведомствам США предписали защитить уязвимые серверы к воскресенью. Для российских компаний этот срок не создаёт юридической обязанности, но хорошо показывает уровень срочности: в KEV обычно попадают не теоретические ошибки из отчётов исследователей, а баги, под которые уже нашлись желающие писать или покупать эксплойты.
Некоммерческая служба мониторинга Shadowserver насчитала свыше 1000 доступных извне GitLab-инстансов, уязвимых к CVE-2026-97229. И это лишь свежая проблема. По данным Shadowserver, ещё более 11 300 экземпляров подвержены CVE-2026-110264 — другой критической ошибке в компиляторе регулярных выражений, исправленной месяцем ранее. Наблюдатели ежедневно видят около 39 тысяч GitLab-серверов, так что доля незащищённых систем измеряется не единицами.
Серия выглядит неприятно даже для инфраструктуры, где обновления обычно воспринимают как рутинную операцию. В январе GitLab устранил CVE-2026-0723 с высокой степенью опасности: она позволяла обходить двухфакторную аутентификацию. В сентябре компания закрыла CVE-2026-85706 в API коммитов репозиториев; через неё можно было получить учётные данные и другие секреты. CISA также добавила эту ошибку в KEV после сообщений о сканировании уязвимых серверов. С ноября 2021 года в каталоге агентства оказалось уже шесть уязвимостей GitLab, причём одну из них использовали в атаках с вымогательским ПО.
Для DevOps-команд практический план короткий, но его лучше не откладывать: сверить версию GitLab с исправленными релизами, обновить self-managed-инстанс и убедиться, что публичный доступ действительно необходим. После установки патча имеет смысл проверить журналы GitLab, веб-сервера и хоста на необычные обращения к CI/CD-конфигурациям и признаки выполнения команд. Если обновление невозможно в тот же день, разумно хотя бы временно убрать административный интерфейс и сам инстанс из прямой видимости интернета, ограничив доступ на уровне сети.
GitLab заявляет о более чем 70 млн зарегистрированных пользователей и присутствии более чем у половины компаний из Fortune 100. На таком масштабе даже относительно небольшая доля непропатченных серверов превращается в удобный список целей для массового сканирования. Главный вопрос теперь не в том, появятся ли новые попытки эксплуатации, а в том, сколько команд узнают о CVE-2026-97229 из уведомления мониторинга, а не из отчёта об инциденте.
