GitLab corrige falha de nota 10 que deixa atacante sem login executar código no servidor

O GitLab lançou nesta segunda-feira (12) as versões 19.4.2, 19.3.4 e 19.2.8 das edições Community e Enterprise para corrigir uma falha crítica, com nota 10 no CVSS, que permite a um atacante sem login executar código no servidor. A empresa recomenda que toda instalação própria (self-managed) seja atualizada o quanto antes.

A falha, registrada como CVE-2026-97229, fica no compilador de expressões regulares do CI/CD, a parte do GitLab que lê e avalia as expressões regulares escritas nos arquivos de configuração das pipelines. Segundo o boletim de segurança do GitLab, em certas condições uma expressão regular montada de propósito numa configuração de CI/CD provoca um estouro de inteiro, e daí a execução de código arbitrário no servidor. A causa apontada é a validação insuficiente dessas expressões.

Quem precisa atualizar

Estão vulneráveis as instalações do GitLab CE e EE da linha 19.2 anteriores à 19.2.8, da linha 19.3 anteriores à 19.3.4 e da linha 19.4 anteriores à 19.4.2. Quem usa o GitLab.com não precisa fazer nada: o serviço já roda a versão corrigida. Os clientes do GitLab Dedicated também não precisam agir, segundo a empresa.

A nota máxima tem explicação no vetor publicado pelo GitLab. O ataque é feito pela rede, tem baixa complexidade, não exige conta nem interação de outra pessoa, e o impacto sobre confidencialidade, integridade e disponibilidade é alto, inclusive além do próprio componente afetado.

Quem encontrou a falha foi o pesquisador que assina como joaxcar, pelo programa de recompensa do GitLab na HackerOne. O boletim não fala em exploração ativa.

Mais 23 correções no mesmo pacote

As mesmas versões fecham outras 23 falhas: cinco de severidade alta, 14 médias e quatro baixas. Entre as altas estão um XSS no realce de sintaxe, uma falha de autorização na criação de pipelines derivadas e um filtro insuficiente da entrada enviada aos prompts do GitLab Duo Agent Platform, da edição Enterprise.

Há um aviso para quem for para a 19.3.4: a versão tem um defeito nas páginas de merge request quando a integração Ona está ligada. A correção fica para a 19.3.5.

A terceira falha grave do GitLab no ano

Como lembra o BleepingComputer, esta é mais uma de uma série. Em janeiro, o GitLab corrigiu a CVE-2026-0723, de severidade alta, que permitia contornar a autenticação de dois fatores. No mês passado, foi a vez da CVE-2026-85706, também de severidade máxima, que deixava atacantes sem login lerem dados sensíveis. Essa foi parar no catálogo de falhas exploradas da CISA, a agência de cibersegurança dos Estados Unidos, que deu três dias para os órgãos federais de lá corrigirem.

A leitura do Setup do Dev: como a falha anterior chegou a ser explorada por atacantes, vale tratar esta atualização como urgente, sem esperar a próxima janela de manutenção, principalmente em instâncias expostas à internet.

Fontes: GitLab, BleepingComputer

Produzido com auxílio de IA e revisado pela redação.