Laut der Bedrohungsüberwachungsgruppe Shadowserver sind mehr als 1.000 über das Internet erreichbare GitLab-Server weiterhin für CVE-2026-97229 anfällig, eine Schwachstelle mit maximalem Schweregrad, die inzwischen in freier Wildbahn ausgenutzt wird.

Die Schwachstelle wird durch einen Integerüberlauf in GitLabs Compiler für reguläre Ausdrücke (Regular Expression Compiler) verursacht, der reguläre Ausdrücke in Pipeline-Konfigurationsdateien verarbeitet. Unter bestimmten Bedingungen könnte ein nicht authentifizierter Angreifer aufgrund unzureichender Validierung einen speziell präparierten Ausdruck verwenden, um beliebigen Code auf einem GitLab-Server auszuführen.

GitLab legte das Problem am 12. Oktober offen und veröffentlichte Fehlerbehebungen für die Versionen 19.4.2, 19.3.5 und 19.2.8 der Community Edition und Enterprise Edition. Das Unternehmen forderte Betreiber selbstverwalteter Installationen auf, unverzüglich zu aktualisieren. GitLab.com lief bereits mit einer gepatchten Version, während Kunden von GitLab Dedicated mitgeteilt wurde, dass keine Maßnahmen erforderlich seien.

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit bestätigte am Freitag, dass die Schwachstelle ausgenutzt wurde, und nahm sie in ihren Katalog der bekannten ausgenutzten Schwachstellen auf. Bundesbehörden wurden angewiesen, betroffene Systeme bis Sonntag abzusichern.

Trotz der Verfügbarkeit von Patches erklärte Shadowserver am Sonntag, dass die Gruppe mehr als 1.000 verwundbare, Angriffen ausgesetzte GitLab-Instanzen verfolge. Die Gruppe meldete außerdem mehr als 11.300 Instanzen, die für eine weitere Schwachstelle im Compiler für reguläre Ausdrücke, CVE-2026-110264, anfällig seien – bei rund 39.000 GitLab-Instanzen, die sie täglich beobachtet.

CVE-2026-97229 ist Teil einer Reihe von GitLab-Schwachstellen, die in diesem Jahr behoben wurden. Seit Januar hat das Unternehmen unter anderem CVE-2026-0723 behoben, durch die Anmeldedaten und andere Geheimnisse gestohlen werden könnten, sowie CVE-2026-110264, die die Ausführung beliebigen Codes ermöglichen kann. Seit November 2021 hat CISA sechs GitLab-Schwachstellen in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen; eine davon wurde zudem mit Ransomware-Angriffen in Verbindung gebracht.

Quellen: BleepingComputer.