GitLab corrige falha crítica de execução remota com pontuação máxima

O GitLab publicou uma atualização crítica para as edições Community e Enterprise que corrige a CVE-2026-97229, vulnerabilidade com pontuação CVSS 10,0. Em determinadas condições, um usuário não autenticado poderia executar código arbitrário no servidor por meio de uma expressão regular especialmente criada em uma configuração de integração e entrega contínuas.

São afetadas todas as versões da série 19.2 anteriores à 19.2.8, da série 19.3 anteriores à 19.3.5 e da série 19.4 anteriores à 19.4.2. A empresa recomenda que todas as instalações autogerenciadas sejam atualizadas imediatamente para uma versão corrigida. O GitLab.com já opera com a correção e clientes do GitLab Dedicated não precisam agir.

O pacote também trata falhas de alta gravidade, incluindo execução de JavaScript no navegador de outros usuários, autorização incorreta em pipelines e injeção de conteúdo em instruções do GitLab Duo Agent Platform. Administradores devem priorizar a atualização das instâncias expostas, confirmar a versão instalada e revisar os controles de acesso e os registros de CI/CD após a aplicação do pacote.