GitLab vá lỗi nghiêm trọng cho phép thực thi mã từ xa
"GitLab released fixes for a critical CVE-2026-97229 vulnerability with a CVSS score of 10.0 that could allow unauthenticated remote code execution on GitLab servers through a specially crafted regular expression in CI/CD configuration. The issue affects GitLab CE and EE versions 19.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2, with patches available in 19.2.8, 19.3.5, and 19.4.2; GitLab also addressed three additional high-severity vulnerabilities."
Rủi ro thực thi mã từ xa trên GitLab server; có thể bị khai thác bởi người dùng chưa xác thực; cần ưu tiên vá ngay.
Có thể ảnh hưởng trực tiếp đến hệ thống CI/CD, làm gián đoạn quy trình phát hành và tăng nguy cơ lộ dữ liệu/chiếm quyền trong môi trường phát triển.
GitLab đã phát hành bản vá cho CVE-2026-97229, một lỗ hổng CVSS 10.0 trong GitLab CE và GitLab EE có thể cho phép người dùng chưa xác thực thực thi mã tùy ý trên máy chủ. Theo khuyến cáo, vấn đề phát sinh từ việc kiểm tra biểu thức chính quy chưa đầy đủ trong cấu hình CI/CD, với điều kiện khai thác liên quan đến một biểu thức được tạo đặc biệt. Lỗi này được mô tả là tràn số nguyên.
Lỗ hổng ảnh hưởng đến các phiên bản 19.2 trước 19.2.8, 19.3 trước 19.3.5 và 19.4 trước 19.4.2. Bản sửa đã có trong 19.2.8, 19.3.5 và 19.4.2. Ngoài ra, GitLab cũng xử lý thêm ba lỗ hổng mức cao: CVE-2026-92883 (XSS), CVE-2026-16301 (phân quyền không đúng trong dịch vụ tạo pipeline downstream) và CVE-2026-14814 (biểu thức chính quy quá cho phép có thể làm nhiễm cache phản hồi).
Khuyến nghị quản trị viên nâng cấp ngay lên bản đã vá, rà soát cấu hình CI/CD, kiểm tra các pipeline và nhật ký thực thi bất thường, đồng thời ưu tiên đánh giá các dự án có dùng biểu thức chính quy trong cấu hình tự động hóa.