Már támadják a GitLab kritikus hibáját, több mint 1000 szerver javítatlan
A CISA szerint már kihasználják azt a GitLab-hibát, amelyen keresztül bejelentkezés nélkül is kódot futtathatnak a támadók. A Shadowserver több mint 1000 internetre kapcsolt, javítatlan kiszolgálót tart nyilván, ezért a saját üzemeltetésű telepítéseket sürgősen frissíteni kell.
Fejlemény
Előzményünk (2026. október 30.): Bejelentkezés nélkül támadható GitLab-hibát használnak ki a CISA szerint
Fontos
Aktívan kihasznált, kritikus: CVSS 10.0
Bejelentkezés nélkül is futtatható kód
A CVE-2026-97229 azonosítójú sérülékenység a GitLab Community Edition és Enterprise Edition kiadásait érinti. A hiba a CI/CD-folyamatok konfigurációjában szereplő reguláris kifejezések kezeléséhez kapcsolódik. A GitLab közlése szerint a nem megfelelő ellenőrzés miatt egy erre készített kifejezéssel, bizonyos feltételek mellett, bejelentkezés nélkül lehet tetszőleges kódot futtatni a szerveren.
A hiba CVSS-pontszáma 10,0: ez a műszaki súlyosságot jelző skála legmagasabb értéke. A CISA október 29-én felvette a sérülékenységet a bizonyítottan kihasznált hibák listájára.
Melyik kiadást kell frissíteni?
A CVE-2026-97229 a 19.2-es, 19.3-as és 19.4-es ágat érinti. A GitLab október 12-én adta ki a javítást: az érintett ágakban a 19.2.8, a 19.3.5 és a 19.4.2 változat tartalmazza. A cég minden saját üzemeltetésű telepítésnél azonnali frissítést javasolt.
A GitLab.com már javított változatot futtat, a GitLab Dedicated ügyfeleinek pedig a cég szerint nincs teendőjük. A saját üzemeltetésű példányoknál egy másik, később javított sérülékenységet is figyelembe kell venni: a CVE-2026-110264 hibához a felsorolt ágakban újabb kiadások tartoznak.
Egy másik kódfuttatási hiba is sok példányt érint
A CVE-2026-110264 szintén a reguláris kifejezések feldolgozásához kapcsolódik, és ugyancsak 10,0-s CVSS-pontszámot kapott. Bizonyos feltételek mellett ez is lehetővé teheti a bejelentkezés nélküli kódfuttatást. A Shadowserver több mint 11300 olyan példányt követett, amely erre a hibára sérülékeny.
A javított változatok között szerepel a 19.2.9, a 19.3.6 és a 19.4.3. A sérülékenység más kiadási ágakat is érint: a 7.0-s verziótól kezdve több ágban jelent meg a javítás.
Korábban egy fájlolvasási hibát is kihasználtak
A GitLab januárban egy olyan hibát javított, amely a kétlépcsős azonosítás megkerülését tehette lehetővé, ha az érintett személy már ismerte az áldozat hitelesítő adatának azonosítóját.
Szeptemberben a CVE-2026-85706 kapott javítást: a GitLab adattárának módosításait kezelő felületen keresztül, bizonyos feltételek mellett, bejelentkezés nélkül lehetett fájlokat olvasni a szerverről. A CISA ezt a hibát is felvette a kihasznált sérülékenységek listájára.
Az ügy eddig
- Bejelentkezés nélkül támadható GitLab-hibát használnak ki a CISA szerint
- Már támadják a GitLab kritikus hibáját, több mint 1000 szerver javítatlan (ez a cikk)
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum