GitLab corrige RCE crítico (CVSS 10) em instalações próprias

O GitLab lançou nesta segunda-feira (12) uma versão de patch que corrige 24 falhas de segurança nas edições self-managed Community e Enterprise. A mais grave, CVE-2026-97229, recebeu nota máxima de CVSS 10.0 e permite que um atacante sem nenhuma credencial execute código arbitrário no servidor ao submeter uma expressão regular malformada em um arquivo de configuração de CI/CD.

O que aconteceu

A falha é um overflow de inteiro (CWE-190) no compilador de expressões regulares usado pelo GitLab para interpretar e validar regras de pipeline. Segundo o próprio aviso de segurança do GitLab, uma regex construída de forma específica engana a validação e permite execução remota de código sem autenticação — o cenário de pior caso para qualquer servidor exposto. A falha foi reportada pelo pesquisador identificado como “joaxcar” através do programa de bug bounty da empresa no HackerOne.

Quem é afetado

A falha atinge instalações self-managed (on-premises) do GitLab CE e EE nas seguintes faixas de versão:

• 19.2 anterior à 19.2.8
• 19.3 anterior à 19.3.5
• 19.4 anterior à 19.4.2

O GitLab.com (SaaS) já está rodando a versão corrigida e não exige nenhuma ação. Clientes do GitLab Dedicated também não precisam agir. O risco recai inteiramente sobre quem mantém o GitLab na própria infraestrutura — física, em VM ou em cluster Kubernetes.

O que fazer agora

1. Confirme a versão instalada: no painel administrativo, em Admin Area > Overview, ou via linha de comando com cat /opt/gitlab/embedded/service/gitlab-rails/VERSION (instalação Omnibus).
2. Se estiver em 19.2, 19.3 ou 19.4 abaixo dos números acima, atualize imediatamente para 19.2.8, 19.3.5 ou 19.4.2.
3. Não há workaround publicado — a única mitigação é a atualização. Restringir quem pode editar arquivos .gitlab-ci.yml reduz a superfície, mas não elimina o risco, já que a falha não exige autenticação.
4. Depois de atualizar, confira o changelog do próprio lançamento para as outras 23 falhas corrigidas no mesmo pacote — três delas (CVE-2026-92883, XSS CVSS 8.7; CVE-2026-16301, CVSS 8.5; CVE-2026-14814, CVSS 8.2) também merecem atenção em ambientes com múltiplos usuários.

Perguntas frequentes

A falha já está sendo explorada?
Não há relato de exploração ativa até a publicação desta nota. Ela foi descoberta de forma responsável via bug bounty, antes de qualquer ataque conhecido. Mesmo assim, por ser RCE sem autenticação e CVSS máximo, o tempo entre divulgação e primeiras tentativas de exploração tende a ser curto — é uma corrida contra o relógio.

Uso GitLab.com, preciso fazer alguma coisa?
Não. A versão hospedada pelo próprio GitLab já estava corrigida no momento do anúncio.

Existe algum indicador de comprometimento que eu deva procurar nos logs?
O aviso do GitLab não lista IOCs específicos. Na ausência deles, o mais seguro é tratar a atualização como prioridade máxima em vez de tentar detectar exploração após o fato.

Conclusão

Um RCE sem autenticação com CVSS 10.0 em uma ferramenta que concentra código-fonte, segredos de CI/CD e pipelines de deploy é o tipo de falha que justifica atualização fora da janela de manutenção regular. Se a sua organização mantém GitLab self-managed nas versões 19.2, 19.3 ou 19.4, o patch para 19.2.8, 19.3.5 ou 19.4.2 deveria estar na fila de hoje, não da próxima janela de manutenção.