Kritische Remote-Code-Ausführung ohne Authentifizierung in GitLab

Was passiert ist

CVE-2026-97229 (die öffentliche Katalognummer für eine bestimmte Software-Schwachstelle): Kritische Remote-Code-Ausführung ohne Authentifizierung in GitLab, wie Rapid7 Blog bekanntgab. Überblick Am 12. Oktober 2026 veröffentlichte GitLab ein kritisches Patch-Release für CVE-2026-97229, einen Integer-Overflow bzw. Wraparound (CWE-190) im Regex-Compiler der CI/CD (der automatisierten Pipeline, die Code-Änderungen testet und ausliefert), der GitLab Community Edition (CE) und Enterprise Edition (EE) betrifft. GitLab wies der Schwachstelle einen CVSSv3.1-Wert von 10.0 zu.

Unter bestimmten Voraussetzungen kann ein entfernter Angreifer über einen speziell präparierten regulären Ausdruck, der in einer schädlichen CI/CD-Konfiguration hinterlegt ist, beliebigen Code auf einem betroffenen GitLab-Server ausführen. Zwar deutet der vom Hersteller angegebene CVSS-Wert darauf hin, dass die Ausnutzung vollständig ohne Authentifizierung möglich ist, bei der Reproduktion des Exploits zeigte sich jedoch, dass ein Angreifer zunächst einen Weg finden muss, eine schädliche CI/CD-Konfiguration in ein Repository einzuschleusen, bevor er die Schwachstelle auslösen kann.

Auf GitLab-Instanzen, auf denen sich neue Nutzer selbst registrieren und Projekte anlegen können, entfällt diese Einschränkung. Die Schwachstelle betrifft selbst gehostete GitLab-Instanzen unabhängig vom jeweiligen Bereitstellungstyp.