🔥 GitLab закрыл RCE максимальной критичности в компиляторе регулярок CI/CD Целочисленное переполнение в CI/CD Regular Expression Compiler. Это CVE-2026-97229: компилятор разбирает и вычисляет регулярные выражения из конфигурации пайплайна, и специально составленная регулярка даёт выполнение кода на сервере GitLab. Аутентификация не нужна. Нашёл уязвимость исследователь под ником joaxcar, сдал через HackerOne. Механизм в advisory сжат до одной фразы про недостаточную валидацию регулярок, деталей эксплуатации там нет. Патч вышел в понедельник. По данным BleepingComputer, self-managed инстансы нужно обновлять сразу: → уязвимы 19.2 до 19.2.8, 19.3 до 19.3.4, 19.4 до 19.4.2 → исправлено в 19.2.8, 19.3.4, 19.4.2 и выше → GitLab.com уже пропатчен, GitLab Dedicated действий не требует Это не первый раз. Месяц назад GitLab закрывал другую максимальную дыру, CVE-2026-85706: без аутентификации читались креденшелы и секреты. CISA добавила её в KEV на следующий день и дала федералам три дня. В январе чинили обход 2FA, CVE-2026-0723. С ноября 2021 года в каталоге эксплуатируемых уязвимостей пять записей по GitLab. Платформа: больше 30 млн зарегистрированных пользователей и свыше половины Fortune 100. Сервер GitLab — не «инструмент разработки», а корневой узел supply chain: там лежат токены раннеров, креденшелы реестра и права на сборку. Кто выполняет на нём код, тот подменяет артефакт в любом проекте, и это заметят не раньше релиза. Для целочисленного переполнения сигнатур не бывает, смотреть надо на аномалии: падения gitlab-workhorse и Rails-воркеров, новые процессы от пользователя git, исходящие соединения с самого сервера. Версию проверяю в Admin Area → Overview → Components или на странице /help. #GitLab #RCE #SupplyChain #DevSecOps