Bezpečnost ·
GitLab CVE-2026-97229: kritická chyba s CVSS 10 je aktivně zneužívána, CISA ji zařadila do KEV
Americká agentura CISA 29. října 2026 přidala do katalogu zneužívaných zranitelností chybu CVE-2026-97229 v GitLabu s hodnocením CVSS 10.0. Týká se CI/CD konfigurace a může vést ke spuštění kódu na serveru. Opravy jsou venku.
CISA 29. října 2026 zařadila do katalogu Known Exploited Vulnerabilities zranitelnost CVE-2026-97229 v GitLabu CE a EE. Jde o přetečení celého čísla při zpracování regulárních výrazů v CI/CD a chyba má nejvyšší hodnocení CVSS 10.0. Úspěšné zneužití může umožnit spuštění kódu na serveru, kde GitLab běží.
Důvodem zařazení je skutečné zneužití. Linuxová distribuce Alpine zveřejnila incident, při kterém neznámý útočník 20. a 21. října neúspěšně zaútočil na jejich instanci GitLabu, osmkrát shodil pracovní procesy a stáhl kontejnerový obraz aplikace. Zdroje se liší v tom, kdy přesně a kým bylo zneužití poprvé potvrzeno, proto to zde nerozebíráme dál.
Podle analýzy společnosti Rapid7 musí útočník nejdřív dostat do repozitáře škodlivou CI/CD konfiguraci. Na instancích, kde se mohou noví uživatelé sami registrovat a zakládat projekty, ale tato podmínka odpadá. Právě otevřená registrace tedy z chyby dělá akutní problém i pro menší firmy, které si GitLab provozují samy.
GitLab chybu opravil ve verzích 19.2.8, 19.3.5 a 19.4.2. Starší větve 19.1 a nižší ani novější 19.5 podle dostupných zdrojů dotčené nejsou. Nezaměňujte ji s jinou regulární zranitelností CVE-2026-110264, o které GitLab informoval později v říjnu. Doporučení je jednoduché: ověřit verzi, aktualizovat a zkontrolovat, kdo má na instanci účet.
Co to znamená pro firmy
Pokud máte GitLab na vlastním serveru, zjistěte dnes verzi a aktualizujte na opravenou. Zakažte veřejnou registraci, pokud ji nepotřebujete, projděte nové účty a projekty z posledních týdnů a zkontrolujte pipeline, které dělají nasazení na produkci. Instanci nevystavujte do internetu bez VPN nebo omezení přístupu podle IP. S tím pomáhá naše kybernetická bezpečnost, aktualizace a hlídání verzí řeší správa webu a aplikací a provoz v EU zajistí hosting. Prahapp, pražská AI divize společnosti Buinsoft Technology, nabízí konzultaci a fixní cenu předem.
Zdroje: The Hacker News: CISA adds exploited GitLab RCE to KEV, Rapid7: CVE-2026-97229 in GitLab