Falha afeta compilador de expressões regulares
O GitLab alertou para a CVE-2026-97229, uma vulnerabilidade de severidade máxima no CI/CD Regular Expression Compiler. O componente analisa, compila e avalia expressões regulares presentes nos arquivos de configuração de pipelines dos projetos.
De acordo com a empresa, a falha decorre de um estouro de inteiro e de validação insuficiente de expressões regulares. Em determinadas condições, uma pessoa sem autenticação poderia executar código arbitrário no servidor GitLab por meio de uma expressão regular especialmente elaborada em uma configuração de CI/CD.
A vulnerabilidade foi descoberta por um pesquisador que usa o identificador “joaxcar” e comunicada pelo programa de recompensas HackerOne do GitLab.
Versões corrigidas e orientação para instalações autogerenciadas
A correção está disponível para GitLab Community Edition e Enterprise Edition. São afetadas as versões 19.2 anteriores à 19.2.8, 19.3 anteriores à 19.3.4 e 19.4 anteriores à 19.4.2.
O GitLab recomenda que todas as instalações autogerenciadas sejam atualizadas imediatamente para uma das versões corrigidas. GitLab.com já opera na versão com a correção, e clientes do GitLab Dedicated não precisam tomar providências, segundo a empresa.
Prioridade para gestão de segurança
Para gestores responsáveis por ambientes GitLab autogerenciados, a atualização das instâncias nas linhas de versão afetadas deve ser tratada como ação prioritária. A recomendação decorre da possibilidade informada de execução arbitrária de código por usuários não autenticados.
O alerta sucede outras correções recentes na plataforma. Em janeiro, o GitLab corrigiu a CVE-2026-0723, descrita como um desvio de autenticação de dois fatores. No mês passado, corrigiu a CVE-2026-85706, que permitiria a atacantes não autenticados ler dados sensíveis, incluindo credenciais e segredos, em servidores vulneráveis.
Histórico recente de vulnerabilidades
Após a correção da CVE-2026-85706, a CISA incluiu a falha em seu catálogo de vulnerabilidades exploradas e determinou que agências federais protegessem seus sistemas em três dias. A CISA já sinalizou cinco falhas do GitLab exploradas em ataques desde novembro de 2021, segundo a reportagem.
O GitLab afirma que sua plataforma DevSecOps tem mais de 30 milhões de usuários registrados e é utilizada por mais de metade das empresas da Fortune 100.