CVE-2026-97229: Vulnerabilidade Integer Overflow ou Wraparound no GitLab Community Edition e Enterprise Edition

De acordo com a Help Net Security, CVE-2026-97229 é uma vulnerabilidade de integer overflow no Compilador de Expressão Regular CI/CD do GitLab, e afeta tanto a GitLab Community Edition (CE) quanto a Enterprise Edition (EE)[2]. A publicação diz que GitLab atribuiu à vulnerabilidade uma pontuação CVSS de 10.0, a mais alta possível.[2]Rapid7 diz que reproduziu independentemente execução de código arbitrário em uma imagem GitLab CE oficial não corrigida[3]. Seu teste descobriu que um invasor primeiro deve ser capaz de fazer commit de um arquivo de configuração CI/CD malicioso[3] para um projeto público. SecurityOnline relata que Censys estima que 25.766 hosts voltados para a internet e 79.224 propriedades web executam atualmente versões vulneráveis.[4]Alpine Linux diz que em 20 e 21 de outubro, uma conta recém-registrada enviou configurações CI elaboradas[5] para sua instância GitLab não corrigida, que causou travamento dos processos de worker do GitLab 8 vezes.[5] O projeto diz que reconstruiu a instância do GitLab do zero[5] porque não pôde descartar execução de código. Também diz que nenhuma chave de assinatura foi exposta.[5]Alpine também avisa que atualizar apenas o GitLab pode não corrigir a falha: "O conserto não está no código do próprio GitLab, mas em um patch para Ruby, que o GitLab aplica apenas em seus pacotes oficiais."[5]De acordo com HOL, os pacotes Linux e imagens oficiais do GitLab foram corrigidos a partir de 19.4.2, 19.3.5 e 19.2.8[1]. Compilações personalizadas também precisam do Ruby 3.3.13, 3.4.12 ou 4.0.9.[1] HOL diz que a CISA definiu uma data limite de 1º de novembro de 2026 para agências federais dos EUA e triagem forense necessária.[1]