GitLab łata krytyczną lukę umożliwiającą zdalne wykonanie kodu oraz 23 inne błędy
W skrócie: 12 października 2026 r. GitLab wydał wersje 19.4.2, 19.3.4 i 19.2.8, usuwając 24 problemy bezpieczeństwa w samodzielnie hostowanych instancjach CE/EE. Najważniejsza jest CVE-2026-97229, luka o CVSS 10.0 w kompilatorze wyrażeń regularnych CI/CD, gdzie słaba walidacja wyrażeń powoduje przepełnienie liczby całkowitej, umożliwiając niezautoryzowanemu napastnikowi wykonanie kodu na serwerze za pomocą spreparowanej konfiguracji CI/CD. CERT-EU wzywa do natychmiastowej aktualizacji, zaczynając od instancji dostępnych z internetu.
To podsumowanie zostało automatycznie przygotowane przez sztuczną inteligencję na podstawie publikacji „CERT-EU”. To nasz tekst, nie kopia oryginału — fakty, liczby i cytaty należą do źródła, do którego link znajduje się powyżej i poniżej.
Co się zmieniło?
- 1CVE-2026-97229 (CVSS 10.0): niezautoryzowany napastnik może wykonać kod poprzez przepełnienie liczby całkowitej w kompilatorze wyrażeń regularnych CI/CD
- 2CVE-2026-92883 (CVSS 8.7): przechowywany XSS w podświetlaniu składni pozwala zautoryzowanemu użytkownikowi uruchomić JavaScript w przeglądarkach innych użytkowników poprzez spreparowane repozytorium
- 3CVE-2026-16301 (CVSS 8.5): błąd autoryzacji pozwala deweloperowi uruchamiać potoki na chronionych gałęziach bez uprawnień
- 4Naprawiono kolejne 21 problemów, w tym błąd zatruwania pamięci podręcznej (CVSS 8.2), który mógł ujawnić chronione zmienne CI/CD
- 5Podatne wersje: samodzielnie hostowany GitLab CE/EE przed 19.4.2, 19.3.4 i 19.2.8
- 6Rozwiązanie: aktualizacja do 19.4.2, 19.3.4 lub 19.2.8
Dlaczego to ważne?
Niezautoryzowane RCE o maksymalnej ocenie w platformie DevOps przechowującej kod, sekrety i potoki CI/CD to idealny cel dla automatycznego wykorzystania, gdy pojawi się publiczny dowód koncepcji; każdy serwer GitLab dostępny z internetu jest w bezpośrednim zagrożeniu.
Co to oznacza dla agentów AI i contact center?
Jeśli Twoja firma samodzielnie hostuje GitLab CE/EE do kontroli kodu źródłowego lub potoków CI/CD — w tym tych budujących lub wdrażających agentów Voice AI, komponenty SIP/Asterisk czy integracje CRM — natychmiast zaktualizuj do poprawionych wersji i sprawdź, czy błąd zatruwania pamięci podręcznej nie ujawnił sekretów CI/CD przed aktualizacją.
Źródła
- CERT-EUOficjalneŹródło pierwotneOryginalny artykuł →„2026-016: Critical Vulnerability in GitLab CE and EE“Licencja: CC BY 4.0 (CERT-EU legal notice; Commission Decision 2011/833/EU) · nasze podsumowanie (treść zmieniona)
- Data publikacji źródła
- —
- Znalezione przez nasz system
- 12 paź 2026, 16:10
- Podsumowanie wygenerowano
- 12 paź 2026, 16:12
Artykuł napisała AI na podstawie oryginalnego źródła. Fakty, liczby i ceny pochodzą ze źródła; brakujące wartości oznaczono „Brak oficjalnych danych”. Informacje prawne, prawa autorskie i prywatność