GitLab закрыла уязвимость CVSS 10.0 с удалённым выполнением кода

GitLab выпустила патчи 19.4.2, 19.3.4 и 19.2.8 для CVE-2026-97229 — целочисленного переполнения в компиляторе регулярных выражений CI/CD с оценкой CVSS 10.0. Неаутентифицированный атакующий может выполнить произвольный код на сервере, если сможет добавить вредоносный .gitlab-ci.yml в публичный проект.

• Уязвимость CVE-2026-97229 получила максимальный балл CVSS 10.0
• Исправления вышли 12 октября в версиях 19.4.2, 19.3.4 и 19.2.8
• Rapid7 воспроизвела RCE на образе CE 19.4.1, патч её блокирует
• Атака требует коммита вредоносного .gitlab-ci.yml в публичный проект