GitLab исправил уязвимость CVSS 10.0 в конфигурациях CI/CD
GitLab выпустил обновления для Community Edition и Enterprise Edition, устраняющие CVE-2026-97229 с максимальной оценкой CVSS 10.0. При определённых условиях неаутентифицированный пользователь мог выполнить произвольный код на сервере GitLab через специально сформированное регулярное выражение в конфигурации CI/CD.
Какие версии необходимо обновить
GitLab описывает проблему как переполнение целого числа, связанное с недостаточной валидацией регулярных выражений. Уязвимы все версии линейки 19.2 до 19.2.8, линейки 19.3 до 19.3.5 и линейки 19.4 до 19.4.2.
Исправления доступны в GitLab 19.2.8, 19.3.5 и 19.4.2. Организациям, использующим CE или EE в затронутых ветках, необходимо перейти на соответствующую исправленную версию.
Другие исправления в релизе
В этом же обновлении GitLab устранил три уязвимости высокой критичности. CVE-2026-92883 с оценкой CVSS 8.7 представляет собой XSS-уязвимость: аутентифицированный пользователь мог через специально подготовленный репозиторий выполнить JavaScript в контексте браузерных сессий других пользователей.
CVE-2026-16301 получила CVSS 8.5 и затрагивает сервис создания downstream-пайплайнов. Пользователь с ролью Developer мог из-за некорректной авторизации запускать CI/CD-пайплайны в защищённых ветках.
Ещё одна проблема, CVE-2026-14814 с оценкой 8.2, связана со слишком разрешающим регулярным выражением. Она позволяла отравлять кэш ответов для raw-файлов репозитория, из-за чего CI/CD-пайплайны целевых пользователей могли исполнять специально подготовленное содержимое. GitLab указывает на возможное раскрытие переменных защищённого окружения.
Контекст для команд разработки
Несколькими неделями ранее GitLab исправил CVE-2026-90970 в AI Gateway с CVSS 9.9. Проблема могла позволить аутентифицированному пользователю с доступом к Duo Agent Platform выйти из песочницы шаблона промпта через специально подготовленную конфигурацию потока и выполнить произвольные команды на AI Gateway.
В прошлом месяце GitLab также устранил CVE-2026-85706 с CVSS 10.0 в CE и EE; попытки проверки этой уязвимости были замечены в реальной среде через несколько часов после публичного раскрытия. Практический вывод для бизнеса: обновление GitLab до 19.2.8, 19.3.5 или 19.4.2 следует поставить в приоритет, а после обновления проверить настройки CI/CD, права на защищённые ветки и использование регулярных выражений в конфигурациях.