25 октября мы писали о критическом патче GitLab против CVE-2026-110264. Новый факт касается её «старшей сестры» — CVE-2026-97229. 29 октября CISA внесла её в каталог эксплуатируемых уязвимостей KEV. Федеральным ведомствам США дали срок до 1 ноября. Какие именно атаки зафиксированы, CISA не уточняет.
Что за уязвимость
CVE-2026-97229 (CVSS 10.0) — переполнение целого в компиляторе регулярных выражений, который разбирает регулярки в конфигурации CI/CD. При определённых условиях неаутентифицированный атакующий выполняет код на сервере через специально составленное выражение. Корень проблемы — движок Onigmo внутри Ruby: его исправили в Ruby 4.0.9, 3.4.12 и 3.3.13.
GitLab закрыл уязвимость 12 октября в 19.4.2, 19.3.4 и 19.2.8. Уже 13 октября Rapid7 опубликовала технический разбор и PoC. По данным Censys, тогда в интернете было около 25 800 уязвимых инсталляций. GitLab.com и GitLab Dedicated обновлены.
Что делать
- Ставить последние релизы своей ветки: 19.5.1, 19.4.3, 19.3.6, 19.2.9 и новее. Они закрывают и CVE-2026-97229, и CVE-2026-110264.
- Исправление приезжает вместе с Ruby из официальных пакетов и образов GitLab. Если GitLab собран с системным Ruby, обновите и Ruby.
- Проверить сервер по правилам обнаружения GitLab. При признаках выполнения кода считать сервер скомпрометированным и сменить токены, ключи и переменные CI.
On 25 October we covered GitLab’s critical patch for CVE-2026-110264. The news now concerns its older sibling, CVE-2026-97229: on 29 October CISA added it to the KEV catalog of exploited vulnerabilities, with a 1 November deadline for US federal agencies. CISA does not say what attacks it has seen.
The flaw
CVE-2026-97229 (CVSS 10.0) is an integer overflow in the regex compiler that parses regular expressions in CI/CD configuration. Under certain conditions an unauthenticated attacker can run code on the server with a crafted expression. The root cause is Ruby’s Onigmo engine, fixed in Ruby 4.0.9, 3.4.12 and 3.3.13.
GitLab fixed it on 12 October in 19.4.2, 19.3.4 and 19.2.8. On 13 October Rapid7 published a technical write-up and PoC; Censys counted about 25,800 vulnerable internet-facing instances at the time. GitLab.com and GitLab Dedicated are already patched.
What to do
- Install the latest release on your branch: 19.5.1, 19.4.3, 19.3.6, 19.2.9 or later. These cover both CVE-2026-97229 and CVE-2026-110264.
- The fix ships with the Ruby bundled in GitLab’s official packages and images. If your GitLab uses a system Ruby, update Ruby as well.
- Check the server against GitLab’s detection rules. If code execution is suspected, treat the server as compromised and rotate tokens, keys and CI variables.