🚨 GitLab: критическая RCE без аутентификации, CVSS 10.0

12 октября GitLab выпустил Critical Patch Release 19.4.2 / 19.3.5 / 19.2.8 для CE и EE.

CVE-2026-97229: integer overflow в компиляторе регулярных выражений CI/CD. Неаутентифицированный атакующий может выполнить произвольный код на сервере GitLab с помощью специально подготовленной регулярки в CI/CD-конфигурации.

▪️ CVSS 3.1: 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
▪️ Уязвимы: 19.2.x, 19.3 – 19.3.3, 19.4 – 19.4.1
▪️ Ветки 18.x и 19.0 не затронуты
▪️ Нашёл исследователь joaxcar (HackerOne)

Помимо этого, в релизе закрыта ещё 23 уязвимости. Среди них 5 уровня High: XSS в подсветке синтаксиса (8.7), запуск пайплайнов на protected-ветках с ролью Developer (8.5), отравление кэша с утечкой CI-переменных (8.2) и другие.

🔗 Релиз-ноуты: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/ 🔗 CVE: https://www.cve.org/CVERecord?id=CVE-2026-97229