Mais de 1.000 servidores GitLab expostos seguem vulneráveis a falha crítica já explorada em ataques

A CVE-2026-97229 nasce de um estouro de inteiro (integer overflow) no compilador de expressões regulares do CI/CD do GitLab, componente que interpreta regex nos arquivos de configuração de pipeline. Segundo o GitLab, com uma regex especialmente construída e validação insuficiente, um usuário não autenticado poderia executar código arbitrário no servidor. A correção saiu em 12 de outubro de 2026, nas versões 19.4.2, 19.3.5 e 19.2.8 do CE e do EE. GitLab.com já roda a versão corrigida, e clientes do GitLab Dedicated não precisam agir.

O problema é a janela. Três semanas depois do patch, a Shadowserver contabiliza mais de 1.000 instâncias ainda vulneráveis à falha, que entrou no catálogo KEV da CISA. A agência deu prazo até domingo para órgãos federais americanos. A Shadowserver também vê mais de 11.300 instâncias vulneráveis à CVE-2026-110264, outra falha máxima no mesmo compilador, num universo de cerca de 39 mil instâncias GitLab observadas por dia. Desde novembro de 2021, a CISA incluiu seis falhas do GitLab no KEV, uma delas já usada em ransomware.

Em 14 de outubro de 2026, o CEVIU noticiou "Alerta Crítico: GitLab Corrige Falha CVSS 10.0 que Permitiria Execução Remota de Código", quando o foco era o patch. Em 2 de novembro de 2026, em "Falha crítica CVSS 10 no GitLab é explorada em ataque contra o Alpine Linux", a exploração já aparecia. Agora o quadro é de confirmação pela CISA e de medição da exposição: mais de 1.000 servidores sem correção. Em 23 de outubro de 2026, o CEVIU também cobriu a CVE-2026-110264, que segue afetando muito mais instâncias, segundo a Shadowserver.

Para quem opera GitLab self-managed, isso significa tratar o patch como emergência, não como ciclo normal de manutenção. Servidor de CI/CD concentra credenciais e segredos, e o histórico recente mostra falhas máximas em sequência (setembro e outubro de 2026). Vale revisar quais instâncias estão expostas à internet, restringir esse acesso e medir o tempo entre a publicação de um patch e sua aplicação. Nesse caso, a exploração começou antes de muita gente atualizar.