Mais de 1.000 servidores GitLab expostos à internet continuam vulneráveis à CVE-2026-97229, uma falha de gravidade máxima que agora está sendo explorada de forma ativa, segundo o grupo de monitoramento de ameaças Shadowserver.
A vulnerabilidade é causada por um estouro de inteiro no Compilador de Expressões Regulares de CI/CD do GitLab, que processa expressões regulares em arquivos de configuração de pipelines. Em determinadas condições, um invasor não autenticado poderia usar uma expressão especialmente criada para executar código arbitrário em um servidor GitLab devido à validação insuficiente.
O GitLab divulgou o problema em 12 de outubro e lançou correções para as versões 19.4.2, 19.3.5 e 19.2.8 das edições Community e Enterprise. A empresa orientou os operadores de instalações autogerenciadas a atualizar imediatamente. O GitLab.com já estava executando uma versão corrigida, enquanto os clientes do GitLab Dedicated foram informados de que nenhuma ação era necessária.
A Agência de Segurança Cibernética e de Infraestrutura dos EUA confirmou na sexta-feira que a falha estava sendo explorada e a adicionou ao seu catálogo de vulnerabilidades exploradas conhecidas. As agências federais receberam instruções para proteger os sistemas afetados até domingo.
Apesar da disponibilidade dos patches, a Shadowserver informou no domingo que estava monitorando mais de 1.000 instâncias vulneráveis do GitLab expostas a ataques contínuos. O grupo também informou que havia mais de 11.300 instâncias vulneráveis a outra falha do Compilador de Expressões Regulares, a CVE-2026-110264, entre aproximadamente 39.000 instâncias do GitLab que observa diariamente.
A CVE-2026-97229 faz parte de uma série de vulnerabilidades do GitLab corrigidas neste ano. Desde janeiro, a empresa corrigiu problemas que incluem a CVE-2026-0723, que poderia permitir o roubo de credenciais e outros segredos, e a CVE-2026-110264, que pode possibilitar a execução de código arbitrário. A CISA adicionou seis vulnerabilidades do GitLab ao seu catálogo de falhas exploradas ativamente desde novembro de 2021; uma delas também foi associada a ataques de ransomware.
Fontes: BleepingComputer.