Mais de 1.000 servidores GitLab seguem expostos a RCE ativamente explorada
O CVE-2026-97229 (CVSS 10.0) permite execução remota de código sem autenticação por expressão regular maliciosa em configuração de CI/CD; a CISA confirma exploração ativa. Mais de 1.000 servidores seguem expostos. Atualize para 19.2.8, 19.3.5 ou 19.4.2.
O que aconteceu
Uma falha de gravidade máxima (CVSS 10.0) no GitLab permite que invasores executem código no servidor sem autenticação. A CISA confirmou exploração ativa e a BleepingComputer relata mais de 1.000 servidores ainda expostos. O servidor GitLab do projeto Alpine Linux foi atacado em 20 e 21 de outubro; o ataque falhou, mas o projeto reconstruiu o servidor do zero e redefiniu todas as senhas.
Por que importa
Um invasor pode assumir o controle total do servidor de código da empresa: roubar código-fonte, segredos de CI/CD e adulterar entregas de software. A falha não exige login, então qualquer instância GitLab exposta à internet em versão vulnerável é alvo imediato. O caso do Alpine mostra que atualizar só o GitLab pode não bastar quando o Ruby é próprio.
O que fazer
Atualize imediatamente para GitLab 19.2.8, 19.3.5 ou 19.4.2. Se o GitLab roda com Ruby próprio (compilado ou em imagem de contêiner própria), atualize também para Ruby 3.3.13, 3.4.12, 4.0.9 ou posterior. Inventarie instâncias expostas e, se houver sinais de ataque, reconstrua e redefina credenciais.
Para o time técnico
- CVE
- CVE-2026-97229
- Afetados
- GitLab CE/EE · GitLab CE/EE 19.2 antes de 19.2.8, 19.3 antes de 19.3.5 e 19.4 antes de 19.4.2. Instâncias com Ruby próprio não corrigido: a falha reside no Ruby, e o Alpine seguiu vulnerável mesmo após atualizar para GitLab 19.3.6, porque sua imagem usa Ruby padrão.
- Exploração
- Exploração ativa confirmada pela CISA: CVE adicionada ao KEV em 29 de outubro de 2026, com prazo federal de 1º de novembro de 2026 (BOD 26-04). Alpine Linux relatou tentativa de exploit em 20 e 21 de outubro de 2026; em 4 crashes o invasor avançou parte do exploit e falhou na etapa seguinte; sem evidência de código executado, mas sem descartar. BleepingComputer relata mais de 1.000 servidores ainda vulneráveis. Uso em ransomware: desconhecido (CISA).
- Correção
- GitLab 19.2.8, 19.3.5 e 19.4.2. Com Ruby próprio (fonte ou contêiner próprio), também Ruby 3.3.13, 3.4.12, 4.0.9 ou posterior; atualizar só o GitLab não corrige nesse cenário. CISA exige mitigação conforme instruções do fornecedor ou descontinuar o produto se não houver correção.
- Vetor
- Estouro de inteiro (integer overflow/wraparound) por validação insuficiente de expressões regulares no Onigmo, motor de regex do Ruby. Usuário não autenticado envia regex maliciosa em configuração de CI/CD e executa código arbitrário no servidor GitLab. No ataque ao Alpine, o invasor usou conta recém-registrada para enviar configurações de CI que derrubavam o processo worker.
- Mais detalhes
- Advisory do GitLab publicado em 12 de outubro de 2026. O atacante baixou a imagem de contêiner do GitLab do Alpine, o que sugere ajuste do exploit ao build exato. Alpine reconstruiu a instância do zero, redefiniu todas as senhas e registrou tentativas de login automatizadas com senhas comprometidas em outros vazamentos; checagens não mostraram adulteração no repositório aports, nos pacotes nem nos releases de 21 de outubro. CISA exige correção por órgãos federais em até três dias (BOD 26-04).
Linha do tempo
Mais de 1.000 servidores GitLab seguem expostos à falha; versões afetadas e corrigidas foram detalhadas.
BleepingComputer relata que mais de 1.000 servidores GitLab permanecem vulneráveis a ataques de execução remota de código em andamento.
BleepingComputer relata que a CISA declarou a falha de gravidade máxima do GitLab como explorada ativamente.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 11 atualizações
SecurityWeek detalha que a falha CVE-2026-97229 permite a invasores não autenticados executar código arbitrário no servidor GitLab do Alpine Linux.
CISA adiciona oficialmente a falha CVE-2026-97229 do GitLab ao catálogo KEV, citando exploração ativa.
CISA inclui a falha GitLab de CVSS 10,0 no catálogo KEV; órgãos federais devem corrigir até 1º de novembro.
Tweet confirma adição da CVE-2026-97229 ao KEV da CISA em 29 de outubro de 2026, com detalhes técnicos: overflow de inteiro no compilador de regex do CI/CD permite RCE sem autenticação.
Post no X reitera a confirmação da CISA de exploração ativa do CVE-2026-97229 e que a tentativa contra o GitLab do Alpine Linux não deixou prova de sucesso; a atualização que o projeto havia feito não corrigia a falha, que está no Ruby.
CISA adiciona a CVE-2026-97229 ao catálogo KEV e confirma exploração ativa, com prazo federal de 1º de novembro de 2026.
A falha ganhou identificação: CVE-2026-97229, RCE de CVSS 10.0 por regex em configuração de CI; a tentativa ocorreu uma semana após a correção e não prosperou.
Primeiro relato: tentativa de exploração de RCE no GitLab do Alpine leva à reconstrução do servidor e à redefinição de senhas.
Fontes 8 fontes
- @TheHackersNews @TheHackersNews
- Attacker Tried to Exploit Alpine Linux’s GitLab via CVSS 10.0 Flaw Its Ruby Left Open The Hacker News
- CVE-2026-97229: GitLab Community Edition and Enterprise Edition (GitLab Community Edition and Enterprise Edition Integer Overflow or Wraparound Vulnerability) CISA KEV
- @IntCyberDigest @IntCyberDigest
- @DailyDarkWeb @DailyDarkWeb
Ver todas as 11 fontes
- @TheHackersNews @TheHackersNews
- CISA Adds Actively Exploited GitLab RCE and Cisco Firewall DoS Flaws to KEV The Hacker News
- Max-Severity GitLab Vulnerability Exploited Against Alpine Linux SecurityWeek
- @BleepinComputer @BleepinComputer
- @BleepinComputer @BleepinComputer
- @DarkWebInformer @DarkWebInformer
