ԱՄՆ կիբերանվտանգության գործակալությունը GitLab-ի խոցելիությունը գրանցել է որպես ակտիվ շահագործվող

ԱՄՆ կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (CISA) 2026 թ․ հոկտեմբերի 29-ին GitLab-ի CVE-2026-97229 խոցելիությունը ներառել է հայտնի շահագործվող խոցելիությունների ցանկում՝ հիմնվելով դրա ակտիվ շահագործման փաստերի վրա։ GitLab-ը շտկումը թողարկել էր ավելի վաղ՝ 2026 թ․ հոկտեմբերին։

BleepingComputer-ը հայտնել է, որ CISA-ն 26-04 պարտադիր գործառնական հրահանգով դաշնային գործակալություններին կարգադրել է մինչև 2026 թ․ նոյեմբերի 1-ը պաշտպանել իրենց սերվերները։ Պարբերականի նկարագրությամբ՝ դա դաշնային մարմինների համար պարտադիր վերջնաժամկետ է։ Հրահանգը վերաբերում է միայն դաշնային գործակալություններին, իսկ CISA-ն մյուս անվտանգության թիմերին, այդ թվում՝ մասնավոր հատվածի օպերատորներին, հորդորել է առաջնահերթ շտկել խոցելիությունը։

Ինչ է թույլ տալիս խոցելիությունը

Խոցելիությունն առկա է GitLab Community Edition և Enterprise Edition տարբերակներում։ Այն կապված է կանոնավոր արտահայտությունների մշակման ընթացքում ամբողջ թվի գերլցման՝ թվերի մշակման սխալի հետ։ Կանոնավոր արտահայտությունները տեքստում համապատասխանություններ գտնելու համար օգտագործվող ձևանմուշներ են։ Դրանք հանդիպում են CI/CD կազմաձևումներում, որոնք կառավարում են ծրագրերի ավտոմատ հավաքման և փորձարկման առաջադրանքները։

GitLab-ը հայտնել է, որ այդ արտահայտությունների անբավարար ստուգումը որոշ պայմաններում կարող է հարձակվողին թույլ տալ առանց մուտք գործելու սերվերում կոդ գործարկել։ BleepingComputer-ը հայտնել է, որ խոցելիությունը հայտնաբերել է joaxcar կեղծանունով անվտանգության հետազոտողը։

Alpine-ը նախազգուշական նպատակով վերակառուցել է սերվերը

2026 թ․ հոկտեմբերի 20-ին և 21-ին հատուկ կազմված CI կազմաձևումներով անհաջող փորձեր են արվել շահագործել Linux-ի բաշխում Alpine Linux-ի GitLab սերվերի չշտկված խոցելիությունը, The Hacker News-ը հայտնել է։ Հոկտեմբերի 25-ին և 26-ին արված հետագա փորձերն արգելափակվել են։