Целочисленное переполнение в GitLab позволяет удалённо выполнить произвольный код

В платформе GitLab для совместной работы над кодом есть уязвимость CVE-2026-97229. Ошибка относится к целочисленному переполнению. Злоумышленник, работающий по сети, может получить возможность выполнить произвольный код на сервере. Базовая оценка CVSS 2.0 и 3.1 составляет 10. Затронуты несколько веток GitLab, а эксплойт уже доступен публично.

CVE-2026-97229 в GitLab и удалённое выполнение кода

В записи BDU:2026-16567 (Банк данных угроз безопасности информации) указано, что проблема связана с классом CWE-190. Это целочисленное переполнение или циклический сдвиг. Вектор атаки сетевой. По данным CVSS 3.1, атакующему не нужны привилегии и взаимодействие с пользователем. Уязвимость затрагивает конфиденциальность, целостность и доступность с высоким влиянием. Способ эксплуатации описан как манипулирование структурами данных. На практике такая ошибка может привести к тому, что внешний код попадёт в процесс GitLab и получит его права.

Максимальная оценка CVSS 2.0 и 3.1 не всегда означает простую атаку. Здесь вектор указывает на сетевой доступ, отсутствие требований к привилегиям и взаимодействию с пользователем. Защита только на уровне учётных записей такую проблему не закрывает. Обновлять нужно сам сервер GitLab.

GitLab хранит исходный код, настройки сборочных конвейеров и служебные данные. Если злоумышленник выполняет код на сервере платформы, он получает доступ к большему, чем один репозиторий. Риск касается и самих проектов, и инфраструктуры, которая их собирает и публикует. Для компаний с закрытым кодом это особенно чувствительно: утечка исходников может раскрыть внутреннюю логику продуктов и сведения о защите. Для организаций, которые используют GitLab как единую платформу для разработки, последствия могут затронуть несколько команд сразу.

Проблему выявили 12 октября 2026 года. Производитель подтвердил уязвимость. BDU относит её к критическому уровню опасности. В перечне затронутых версий BDU называет диапазоны от 19.2.0 до 19.2.8, от 19.3.0 до 19.3.5 и от 19.4.0 до 19.4.2. Речь идёт о сетевом программном средстве. Сведения об операционных системах и аппаратных платформах в BDU уточняются, поэтому при проверке инфраструктуры нужно опираться на официальный бюллетень GitLab.

Публичный эксплойт меняет приоритет исправления. BDU указывает, что эксплойт существует в открытом доступе. Когда рабочий пример эксплуатации доступен, злоумышленнику не нужно самостоятельно искать способ обратиться к уязвимому серверу. Достаточно найти GitLab нужной версии. В ссылках BDU есть отчёты на HackerOne и проект на GitHub, связанный с CVE-2026-97229. Публикация кода эксплуатации не означает, что атаки уже идут массово. Но она сокращает время между раскрытием сведений и попытками использования.

GitLab уже подготовил исправление. В качестве меры BDU приводит рекомендации производителя и ссылку на релиз 19.4.2. Здесь есть важная деталь. Версия 19.4.2 одновременно указана в верхней границе уязвимого диапазона и в ссылке на релиз с исправлением. Администраторам нужно сверить точную версию по вендорскому бюллетеню, а не ориентироваться только на номер из сводки. Для веток 19.2 и 19.3 также нужны исправленные сборки. Обновление остаётся основным способом закрыть проблему.

Проверьте все экземпляры GitLab, включая тестовые и внутренние среды. Обновите их до версии, которую GitLab указывает для вашей ветки. Если автоматическое обновление невозможно, запланируйте ручной переход. После обновления сверьте номер сборки. Публичный эксплойт делает промедление рискованным.

Уязвимость получила максимальную оценку CVSS. Для GitLab это означает, что ошибка затрагивает не отдельную функцию, а всю модель доверия к серверу разработки. Обновление нужно не только для защиты кода. Оно снижает риск компрометации сборочных процессов и данных, которые проходят через платформу. Чем дольше уязвимый экземпляр остаётся в сети, тем шире период, в который злоумышленник может проверить публичный эксплойт.

CVE-2026-97229 в GitLab и удалённое выполнение кода

Ссылки