GitLab CVE-2026-97229: krytyczna poprawka kompilatora wyrażeń CI/CD

12 października GitLab ogłosił wydania 19.4.2, 19.3.5 i 19.2.8 dla CE oraz EE i zalecił pilną aktualizację samodzielnie utrzymywanych instalacji. Według dostawcy GitLab.com działa już na poprawionej wersji, a klienci GitLab Dedicated nie muszą podejmować działań. Źródło: komunikat o krytycznych poprawkach GitLab.

Rekord CVE-2026-97229 opublikowany przez GitLab opisuje błąd walidacji wyrażeń regularnych w konfiguracji CI/CD. W określonych warunkach użytkownik bez uwierzytelnienia może doprowadzić do wykonania kodu na serwerze GitLab. Problem jest klasyfikowany jako przepełnienie liczby całkowitej.

Wniosek Breachroad: potraktuj przegląd własnej instancji jako zadanie właściciela platformy developerskiej, administratora i zespołu bezpieczeństwa. Aktualizacja powinna zakończyć się dowodem działającej wersji oraz sprawdzeniem potrzebnych procesów. Poniższy plan jest naszą rekomendacją, opartą na praktycznych decyzjach zespołu.

Które wersje obejmuje rekord

Gałąź GitLab CE/EE	Zakres podatny na CVE-2026-97229	Wydanie z poprawką
19.2	Od 19.2 do wersji poniżej 19.2.8	19.2.8
19.3	Od 19.3 do wersji poniżej 19.3.5	19.3.5
19.4	Od 19.4 do wersji poniżej 19.4.2	19.4.2

Źródłem zakresów jest powyższy rekord CVE. Dla konkretnej instalacji sprawdź również bieżącą dokumentację aktualizacji dostawcy i ewentualne wydania późniejsze. Nasza rekomendacja: zapisuj pełny numer wersji; sama informacja „GitLab 19” nie wystarcza do oceny tej podatności.

Zacznij od działającego serwera

W naszym planie administrator potwierdza wersję faktycznie uruchomionej aplikacji oraz sposób jej utrzymania. Wpis w repozytorium infrastruktury, obraz przygotowany do wdrożenia i działająca instancja mogą opisywać różne etapy zmiany. Zgłoszenie powinno wskazywać, jaki dowód sprawdzono i kiedy.

Ustal wszystkie własne instancje, także testowe lub przeznaczone dla partnerów, oraz osoby odpowiedzialne za ich aktualizację. Jeśli usługę obsługuje dostawca, poproś o wynik dotyczący konkretnej instalacji. Ogólna deklaracja o wykonywaniu aktualizacji nie pokazuje stanu tej wersji.

Przygotuj zmianę razem z zespołem CI/CD

Proponujemy ustalić plan przywrócenia usługi, okno zmiany i minimalny zestaw procesów do sprawdzenia po aktualizacji. Uwzględnij dostęp do projektów, otwieranie merge requestów i wykonanie zatwierdzonego, reprezentatywnego pipeline’u. Wybierz taki zakres, który potwierdzi działanie integracji bez przypadkowego uruchomienia zmian produkcyjnych.

Przed zmianą wskaż osobę podejmującą decyzję przy błędzie migracji lub niedostępności usługi. Po zakończeniu zapisz działający numer wydania, wynik sprawdzeń oraz otwarte problemy. Powodzenie instalatora jest jednym z dowodów; właściciel usługi potrzebuje też wiedzieć, czy zespół może korzystać z wymaganych funkcji.

W naszej ocenie warto oddzielić aktualizację serwera GitLab od oceny runnerów i innych składników. Każdy element powinien mieć własnego właściciela i zakres kontroli. Nie uznawaj aktualizacji jednego komponentu za potwierdzenie stanu całej platformy.

Historia ekspozycji wymaga osobnej oceny

Zalecamy ustalić, jak długo dana instancja działała w podatnym zakresie i jakie dane o jej aktywności są dostępne. Szukaj nieoczekiwanych działań w kontekście konfiguracji i normalnej pracy usługi. Brak zdarzeń w niepełnych logach powinien zostać opisany jako ograniczenie analizy.

Jeżeli pojawią się oznaki nieautoryzowanego działania, uruchom obsługę incydentu i zachowaj dostępny materiał. Zespół powinien określić zakres uprawnień procesu oraz integracji przed decyzją o poświadczeniach i odtwarzaniu. Sam fakt zainstalowania poprawki nie wyjaśnia wcześniejszej historii serwera.

Scenariusz szkoleniowy dla zespołu

Wyobraźmy sobie firmę, która ma jedną instancję zarządzaną przez IT i drugą utrzymywaną przez zespół produktu. Obie są wpisane w rejestr jako „GitLab 19”, ale tylko jedna ma właściciela aktualizacji. To hipotetyczny przykład do dyskusji.

Poproś uczestników o wskazanie brakujących dowodów, osoby zatwierdzającej zmianę i sposobu potwierdzenia jej wyniku. Celem ćwiczenia jest sprawna decyzja o poprawce i zachowanie kontroli nad procesem dostarczania oprogramowania.

Szerszy kontekst znajdziesz w przewodniku po bezpieczeństwie CI/CD. Zespoły developerskie i administratorzy mogą przećwiczyć podobne decyzje podczas szkoleń z cyberbezpieczeństwa dla organizacji.