Sårbarheten er registrert som CVE-2026-97229 og gjelder GitLab CI/CD Regular Expression Compiler. Komponenten analyserer, kompilerer og kjører regulære uttrykk i konfigurasjonsfiler for prosjektets pipeline. GitLab har klassifisert feilen som kritisk, altså med høyeste alvorlighetsgrad.

Problemet skyldtes en heltallsoverflyt og utilstrekkelig validering av regulære uttrykk. Under bestemte forhold kunne en uautentisert bruker legge inn et spesiallaget regulært uttrykk i CI/CD-konfigurasjonen og dermed kjøre vilkårlig kode på GitLab-serveren.

Sårbarheten ble oppdaget av sikkerhetsforskeren «joaxcar» og rapportert gjennom GitLabs belønningsprogram for sikkerhetsfeil på HackerOne.

Disse versjonene er rettet

GitLab opplyser at feilen er rettet i Community Edition (CE) og Enterprise Edition (EE) versjon 19.2.8, 19.3.4 og 19.4.2, samt i nyere versjoner av de samme grenene. Berørte er 19.2-versjoner før 19.2.8, 19.3-versjoner før 19.3.4 og 19.4-versjoner før 19.4.2.

Selskapet ber brukere med selvdriftede GitLab-installasjoner oppgradere serverne umiddelbart til en av de rettede versjonene. Oppdateringene inneholder også andre viktige feil- og sikkerhetsrettinger.

GitLab.com kjører allerede en rettet versjon, og kunder av GitLab Dedicated trenger ikke foreta seg noe.

Flere alvorlige GitLab-sårbarheter

CVE-2026-97229 er den siste i en rekke sårbarheter GitLab har rettet de siste månedene. I januar reparerte selskapet den alvorlige sårbarheten CVE-2026-0723, som kunne brukes til å omgå tofaktorautentisering på GitLab Community Edition- og Enterprise Edition-servere dersom angriperen kjente identifikatoren til målkontoen.

Forrige måned rettet GitLab en annen kritisk sårbarhet, CVE-2026-85706. Den kunne gjøre det mulig for uautentiserte angripere å lese sensitive data fra sårbare servere, blant annet tilgangsinformasjon og andre hemmeligheter.

Dagen etter føyde USAs cybersikkerhets- og infrastruktursikkerhetsbyrå (CISA) CVE-2026-85706 til katalogen over sårbarheter som er utnyttet i praksis. Føderale etater fikk ordre om å beskytte systemene sine mot feilen innen tre dager.

Siden november 2021 har CISA ført fem GitLab-sårbarheter i katalogen. Én av dem er også blitt utnyttet av løsepengevirusgrupper.

GitLab opplyser at DevSecOps-plattformen har mer enn 30 millioner registrerte brukere og brukes av over halvparten av selskapene på Fortune 100-listen. Blant kundene er Nvidia, T-Mobile, Lockheed Martin, Airbus og Goldman Sachs.