Aktualizované: Rapid7 zverejnil PoC pre GitLab CVE-2026-97229
Rapid7 zverejnil verejný PoC pre kritickú chybu CVE-2026-97229 v self-managed GitLabe. Reťazec RCE reprodukoval na GitLab CE 19.4.1, nie však na opravenej verzii 19.4.2.
GitLab PoC pre CVE-2026-97229 je už verejne dostupný. Bezpečnostná firma Rapid7 13. októbra 2026 zverejnila technickú analýzu kritickej zraniteľnosti a odkaz na GitHub repozitár s demonštračným kódom. Rapid7 uvádza, že úplný reťazec vzdialeného spustenia kódu reprodukoval na neopravenom oficiálnom obraze GitLab CE 19.4.1. Rovnaký vstup na opravenej verzii 19.4.2 nefungoval.
GitLab naďalej uvádza ako opravené vydania 19.2.8, 19.3.5 a 19.4.2 pre self-managed nasadenia Community Edition aj Enterprise Edition. Verejný reprodukovateľný PoC zvyšuje bezprostredné riziko pre servery, ktoré tieto opravy ešte nemajú nasadené.
GitLab PoC má konkrétnu podmienku
Demonštrovaný postup nie je bezpodmienečným vzdialeným útokom na každú GitLab inštanciu. Podľa Rapid7 útočník potrebuje možnosť vložiť škodlivú konfiguráciu CI/CD do repozitára. Pri inštanciách s otvorenou registráciou a povoleným vytváraním projektov môže túto podmienku splniť aj bežný používateľský účet.
Správcovia by mali okrem aktualizácie preveriť, kto môže vytvárať projekty a meniť ich CI/CD konfigurácie. Ako dočasné opatrenie môžu obmedziť anonymný prístup a možnosť nedôveryhodných používateľov vytvárať alebo upravovať verejné projekty.
Tri vetvy s dostupnými opravami
GitLab pre CVE-2026-97229 uvádza opravy v troch vetvách. Cieľové verzie sú:
- GitLab 19.4: verzia 19.4.2 alebo novšia,
- GitLab 19.3: verzia 19.3.5 alebo novšia,
- GitLab 19.2: verzia 19.2.8 alebo novšia.
Prioritou sú najmä neaktualizované self-managed servery, na ktorých môžu používatelia nahrávať alebo meniť konfigurácie CI/CD. Rapid7 potvrdil funkčný reťazec na oficiálnom obraze CE 19.4.1 a nefunkčnosť rovnakého vstupu po aktualizácii na 19.4.2.
Aktívne zneužívanie zatiaľ potvrdené nie je
V dostupných podkladoch nie je potvrdené aktívne zneužívanie CVE-2026-97229 vo voľnej prírode. Nie sú známe ani konkrétne kompromitované organizácie či masové zneužívanie verejného PoC. Nezávisle potvrdený nie je ani počet zraniteľných alebo z internetu dostupných GitLab inštancií.
Ďalší vývoj bude závisieť od prípadných hlásení GitLabu, CISA a bezpečnostných firiem. Treba sledovať aj možné zaradenie chyby do katalógu CISA KEV, výskyt ďalších verejných exploitov, automatizovaných skenov a detekčných pravidiel.
Zdroje
- GitLab Docs — Critical Patch Release: 19.4.2, 19.3.5, 19.2.8 – Potvrdzuje zraniteľnosť, zasiahnuté vetvy a opravné verzie GitLab CE/EE.
- CVE Program — CVE-2026-97229 – Potvrdzuje popis chyby, CVSS 10.0, rozsah zasiahnutých verzií a GitLab ako CNA.
- Rapid7 — CVE-2026-97229: Critical Unauthenticated Remote Code Execution in GitLab – Potvrdzuje nezávislú reprodukciu RCE, zverejnenie odkazu na PoC, podmienku zápisu CI/CD konfigurácie a absenciu potvrdeného zneužívania vo voľnej prírode.
- Rapid7 GitHub — CVE-2026-97229-PoC – Verejne dostupný repozitár PoC, na ktorý odkazuje analýza Rapid7.
Overené a aktualizované: 16. 10. 2026 06:26
