GitLab alerta para falha crítica de execução remota de código (RCE)

Atualizado a 12 de outubro de 2026 às 15:23

A GitLab corrigiu uma vulnerabilidade crítica de execução remota de código no seu motor de compilação de expressões regulares. Atualiza o teu servidor agora.

Vulnerabilidade crítica de execução remota de código

A GitLab alertou hoje os administradores de sistemas para a necessidade de aplicar correções imediatas a uma vulnerabilidade de severidade máxima, identificada como CVE-2026-97229. Esta falha reside no motor de compilação de expressões regulares (regex) do CI/CD da plataforma e pode permitir que um atacante remoto execute código arbitrário em instâncias visadas.

A vulnerabilidade, descoberta pelo investigador de segurança 'joaxcar' através do programa de bug bounty da GitLab no HackerOne, deriva de um erro de integer overflow. Este problema ocorre durante o processo de análise, compilação e avaliação de expressões regulares em ficheiros de configuração de pipelines de projetos.

Impacto e versões afetadas

Segundo o comunicado oficial, a falha permite que um utilizador não autenticado execute código arbitrário no servidor GitLab através de uma expressão regular especialmente criada num ficheiro de configuração CI/CD, devido a uma validação insuficiente. A GitLab confirmou que a correção já foi implementada no GitLab.com, mas os utilizadores de instâncias self-managed devem agir rapidamente.

As versões afetadas e que requerem atualização imediata são:

• GitLab Community Edition (CE) e Enterprise Edition (EE) 19.2 (anteriores a 19.2.8)
• GitLab CE/EE 19.3 (anteriores a 19.3.4)
• GitLab CE/EE 19.4 (anteriores a 19.4.2)

Os clientes que utilizam o serviço GitLab Dedicated não necessitam de tomar qualquer ação adicional. A empresa sublinha que estas versões contêm correções de segurança essenciais e recomenda a atualização imediata de todas as instalações geridas pelos próprios utilizadores.

Contexto de segurança

Esta é a mais recente de uma série de vulnerabilidades críticas que a GitLab tem enfrentado nos últimos meses. Em janeiro, foi corrigida uma falha de desvio de autenticação de dois fatores (CVE-2026-0723), e no mês passado, a empresa abordou uma vulnerabilidade de severidade máxima (CVE-2026-85706) que permitia a leitura não autorizada de dados sensíveis, como credenciais e segredos. A CISA, agência de cibersegurança dos EUA, tem monitorizado ativamente estas falhas, dado que a plataforma é utilizada por mais de 50% das empresas da Fortune 100.

Fontes

• https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/