CISA voegde op 29 oktober 2026 CVE-2026-97229 toe aan de KEV-catalogus, op basis van aanwijzingen voor actieve exploitatie. Beheerders van GitLab Community Edition en Enterprise Edition moeten de patchgrens voor hun versiebranch aanhouden. Bij aangepaste installaties met een afzonderlijke Ruby-runtime kan ook Ruby zelf een update nodig hebben. CISA
GitLab beschrijft CVE-2026-97229 als een integer overflow in de compiler voor reguliere expressies die in CI/CD-configuraties worden gebruikt. Onder bepaalde omstandigheden kan een speciaal gemaakte expressie een niet-aangemelde gebruiker in staat stellen code uit te voeren op de GitLab-server. GitLab kent de kwetsbaarheid een CVSS 3.1-score van 10,0 toe. GitLab
Welke GitLab-versies zijn getroffen?
GitLab noemt drie getroffen CE/EE-branches. De correctiegrens verschilt per branch:
| GitLab-branch | Getroffen versies | Opgelost vanaf |
| 19.2 | vóór 19.2.8 | 19.2.8 |
| 19.3 | vóór 19.3.5 | 19.3.5 |
| 19.4 | vóór 19.4.2 | 19.4.2 |
In het patchbericht van 12 oktober meldde GitLab dat GitLab.com al op een gepatchte versie draaide en dat GitLab Dedicated-klanten vóór publicatie waren bijgewerkt. GitLab publiceerde ook zes detectieregels voor zelfbeheerde installaties. GitLab
Een GitLab-update kan een aparte Ruby-runtime laten staan
De kwetsbare reguliere-expressie-engine Onigmo is onderdeel van Ruby. Volgens Alpine Linux zit de correctie in Ruby die met de officiële GitLab-pakketten en -images wordt meegeleverd. Alpine gebruikte in zijn eigen image een afzonderlijk geleverde Ruby-runtime. Daardoor bleef die runtime kwetsbaar nadat Alpine GitLab op 22 oktober naar versie 19.3.6 had bijgewerkt. Alpine Linux
Voor installaties met een eigen Ruby-runtime noemt Alpine Ruby 3.3.13, 3.4.12 of 4.0.9 en hoger als versies met de correctie. Alpine meldde ook dat de image alpinelinux/gitlab:19.3.6 van vóór 27 oktober en oudere tags de kwetsbare Ruby bevatten. De image van 27 oktober bevatte Ruby 3.3.13. Bij zo’n aangepaste installatie moeten dus zowel de GitLab-versie als de afzonderlijke runtime kloppen.
Wat Alpine meldde over de aanvalspoging
Alpine meldde dat een nieuw aangemaakt account op 20 en 21 oktober aangepaste CI-configuraties naar zijn GitLab-instance stuurde, die toen versie 19.3.4 draaide. De workerprocessen crashten acht keer. In vier gevallen kwam de aanvaller gedeeltelijk door de exploit, waarna de volgende stap mislukte.
Alpine vond geen bewijs dat de aanvaller code had uitgevoerd, maar kon dat niet uitsluiten: een geslaagde exploit kon volgens de organisatie geen crash- of weblogspoor achterlaten en een deel van de logs van de aanvalsperiode ontbrak. Alpine behandelde de instance daarom als gecompromitteerd en bouwde die opnieuw op. Controles vonden geen wijzigingen in de aports-repository, pakketten of releases van 21 oktober. Volgens Alpines tijdlijn ging GitLab op 29 oktober weer open met versie 19.3.7. Alpine Linux
Voor wie geldt BOD 26-04?
CISA zegt dat richtlijn BOD 26-04 uitsluitend geldt voor Amerikaanse federale civiele uitvoerende overheidsinstanties (FCEB). Andere organisaties moedigt CISA aan kwetsbaarheden op de KEV-lijst prioriteit te geven. CISA
