CISA inclui CVE-2026-97229 do GitLab no KEV

A CISA incluiu a CVE-2026-97229 do GitLab no catálogo Known Exploited Vulnerabilities (KEV) em 29 de outubro de 2026, citando evidências de exploração ativa. O GitLab atribui nota CVSS 10,0 à falha no compilador de expressões regulares de CI/CD: em certas condições, uma expressão especialmente criada pode permitir que alguém sem autenticação execute código no servidor. Administradores de instalações autogerenciadas devem conferir a versão do GitLab e, se usam um ambiente Ruby separado, verificar também essa parte da implantação.

O que a falha afeta

O GitLab descreve a CVE-2026-97229 como um estouro de inteiro no compilador de expressões regulares de CI/CD. O mecanismo envolvido é o Onigmo, integrado ao Ruby. Segundo o comunicado do GitLab, uma expressão especialmente criada em uma configuração de CI/CD pode, sob certas condições, permitir execução arbitrária de código sem autenticação no servidor. A falha recebeu nota 10,0 no CVSS 3.1.

A inclusão no KEV registra a avaliação da CISA de que há evidências de exploração ativa. Ela não determina o resultado de cada tentativa contra uma instalação específica. No caso da Alpine Linux, por exemplo, a organização não encontrou evidências de execução de código, mas não conseguiu descartá-la.

Versões do GitLab corrigidas

O GitLab identificou as seguintes versões afetadas do Community Edition e do Enterprise Edition (CE/EE) e publicou correções para cada ramo:

O GitLab informou que o GitLab.com já executava uma versão corrigida e que os ambientes GitLab Dedicated haviam recebido a correção antes da publicação do comunicado. Para instalações autogerenciadas, a versão corrigida depende do ramo usado; o GitLab também publicou seis detecções para ajudar clientes a identificar tentativas de exploração.

Quando atualizar o GitLab não basta

Uma instalação pode precisar corrigir também o Ruby quando usa um ambiente de execução separado, como pode ocorrer em instalações a partir do código-fonte ou em imagens personalizadas. A correção do GitLab foi aplicada ao Ruby incluído nos pacotes e nas imagens oficiais. Se o Ruby vem de outra instalação, atualizar apenas a aplicação GitLab pode deixar o mecanismo vulnerável.

A Alpine Linux relatou esse cenário na própria infraestrutura: em 22 de outubro, atualizou o GitLab para a versão 19.3.6, mas o Ruby fornecido separadamente continuou vulnerável. Para esse tipo de implantação, a Alpine indicou Ruby 3.3.13, 3.4.12 ou 4.0.9, ou versões posteriores. A organização informou que sua imagem de 27 de outubro incluía Ruby 3.3.13 e que imagens mais antigas, incluindo tags anteriores e imagens 19.3.6 publicadas antes dessa data, ainda não continham o Ruby corrigido. Portanto, verifique tanto a versão do GitLab quanto o Ruby presente na imagem ou no sistema usado pela instalação.

O que aconteceu na instância da Alpine Linux

Em um relato publicado em 28 de outubro, a Alpine disse que sua instância GitLab, então na versão 19.3.4, recebeu configurações de CI criadas para explorar a falha nos dias 20 e 21 de outubro. Os processos de trabalho falharam oito vezes; em quatro ocasiões, a tentativa avançou parcialmente antes de falhar na etapa seguinte. A Alpine informou que não encontrou evidências de execução de código, mas não pôde descartá-la. Por isso, tratou aquela instância como comprometida e a reconstruiu.

A organização também relatou não ter encontrado adulteração no repositório aports, nos pacotes nem nas versões lançadas em 21 de outubro que verificou. Esses resultados dizem respeito às verificações feitas pela Alpine. A instância GitLab foi reaberta em 29 de outubro, segundo a cronologia da organização, com a versão 19.3.7.

A quem se aplica a BOD 26-04

A CISA informou que a diretriz BOD 26-04 se aplica aos órgãos civis do Poder Executivo federal dos Estados Unidos (FCEB). Para outras organizações, a agência recomenda priorizar vulnerabilidades incluídas no KEV, sem estender a elas o escopo da diretriz.