Alerta Crítico: GitLab Corrige Falha CVSS 10.0 que Permitiria Execução Remota de Código

A falha CVE-2026-97229, com pontuação máxima de 10.0 no CVSS, representa um risco crítico. Ela permite a execução remota de código (RCE) por atacantes não autenticados no GitLab CE e EE. O vetor de ataque explora um estouro de inteiro na validação de expressões regulares (regex) dentro das configurações de CI/CD. Isso significa que um invasor pode criar uma regex maliciosa que, quando processada pelo servidor, causa o estouro, abrindo uma porta para a execução de comandos arbitrários no sistema.

A natureza “não autenticada” do ataque torna a vulnerabilidade ainda mais grave, pois qualquer pessoa com acesso à rede pode tentar explorá-la, sem precisar de credenciais válidas. A exploração do ambiente de CI/CD é particularmente perigosa, pois esses sistemas geralmente possuem permissões elevadas e acesso a repositórios de código, segredos e ambientes de deploy, podendo levar a um comprometimento completo da cadeia de suprimentos de software.

Esta é a segunda falha CVSS 10.0 corrigida pelo GitLab em menos de um mês que permite acesso a usuários não autenticados. A primeira, CVE-2026-85706, um bug de path traversal corrigido em 15 de setembro de 2026, já havia sido explorada ativamente. Agora, a CVE-2026-97229 novamente expõe servidores GitLab a RCE sem autenticação, mas por um vetor diferente: um estouro de inteiro na validação de regex em CI/CD. Em 26 de junho de 2026, o GitLab corrigiu diversas falhas de alta severidade, incluindo XSS, que voltam a aparecer nesta atualização, mostrando um esforço contínuo para mitigar riscos persistentes na plataforma.

Uma vulnerabilidade de execução remota de código sem autenticação é o cenário mais temido em segurança da informação. Ela oferece ao atacante controle total sobre o servidor, permitindo roubo de dados, implantação de malware, interrupção de serviços e até mesmo o uso do servidor como ponto de partida para ataques a outras partes da infraestrutura da empresa. Para organizações que utilizam o GitLab em seus processos de desenvolvimento e implantação, a atualização imediata é mandatória. Ignorar essas correções pode resultar em um impacto devastador, com perdas financeiras, danos à reputação e violações de conformidade.