Lỗ hổng nghiêm trọng trong GitLab CE và EE được vá

Ngày 12/10/2026, GitLab đã phát hành các phiên bản 19.4.2, 19.3.4 và 19.2.8, vá 24 vấn đề an ninh, trong đó có một lỗ hổng nghiêm trọng cho phép kẻ tấn công không xác thực thực thi mã tùy ý trên máy chủ. CERT-EU khuyến nghị nâng cấp các phiên bản GitLab CE/EE tự quản ngay lập tức, bắt đầu với các instance internet-facing.

Nội dung chính

• GitLab đã phát hành các phiên bản 19.4.2, 19.3.4 và 19.2.8 để vá 24 vấn đề an ninh.
• Trong số đó có một lỗ hổng nghiêm trọng (CVE-2026-97229) với điểm CVSS 10.0.
• Lỗ hổng này nằm trong bộ biên dịch biểu thức chính quy của CI/CD.
• CERT-EU khuyên nâng cấp ngay các instance GitLab CE/EE tự quản, bắt đầu với instance internet-facing.

Chi tiết sự việc

Ngày 12/10/2026, GitLab đã phát hành các phiên bản 19.4.2, 19.3.4 và 19.2.8 để vá 24 vấn đề an ninh. Trong số đó có một lỗ hổng nghiêm trọng (CVE-2026-97229) với điểm CVSS 10.0. Lỗ hổng này nằm trong bộ biên dịch biểu thức chính quy của CI/CD. Weak validation of regular expressions dẫn đến integer overflow, và một biểu thức chính quy đặc biệt trong cấu hình CI/CD có thể kích hoạt thực thi mã.

Phiên bản 19.4.2, 19.3.4 và 19.2.8 cũng vá các lỗ hổng khác. CVE-2026-92883 (CVSS: 8.7): một lỗ hổng chéo trang web trong đánh dấu cú pháp cho phép người dùng đã đăng nhập chạy mã JavaScript tùy ý trong trình duyệt của người dùng khác thông qua một kho lưu trữ được tạo ra. CVE-2026-16301 (CVSS: 8.5): một lỗ hổng về quyền truy cập cho phép một nhà phát triển chạy các luồng trên các nhánh bảo vệ mà không có quyền.

Có 21 vấn đề khác, bao gồm một lỗ hổng làm ô nhiễm bộ nhớ cache được đánh giá 8.2, có thể tiết lộ các biến CI/CD bảo vệ.

Vấn đề này ảnh hưởng đến các phiên bản self-managed GitLab CE/EE.

CERT-EU khuyên nâng cấp tất cả các instance GitLab CE/EE tự quản ngay lập tức, bắt đầu với các instance internet-facing.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn CERT-EU Security Advisories. Vui lòng đối chiếu bài gốc trước khi sử dụng.