Mais de mil servidores GitLab continuam vulneráveis a falha crítica explorada em ataques

Mais de mil servidores GitLab acessíveis através da Internet continuam vulneráveis a uma falha de segurança de gravidade máxima que está a ser explorada em ataques reais. A vulnerabilidade, identificada como CVE-2026-97229, permite, em determinadas condições, a execução remota de código sem autenticação, colocando em risco as organizações que ainda não atualizaram as suas instalações.

A Cybersecurity and Infrastructure Security Agency (CISA) confirmou a exploração ativa da vulnerabilidade e adicionou-a ao catálogo Known Exploited Vulnerabilities (KEV), que reúne falhas utilizadas em ataques.

Apesar de o GitLab ter disponibilizado correções a 12 de outubro, a organização de monitorização de ameaças Shadowserver identificou mais de mil instâncias vulneráveis expostas à Internet, cerca de três semanas após a publicação das atualizações.

A situação é particularmente relevante para as organizações que utilizam instalações próprias do GitLab para alojar código-fonte e gerir processos de desenvolvimento e integração contínua.

Falha no compilador de expressões regulares permite execução de código

A CVE-2026-97229 resulta de uma vulnerabilidade do tipo integer overflow no compilador de expressões regulares utilizado pelo sistema de CI/CD do GitLab. Este componente é responsável por processar e avaliar expressões regulares presentes nos ficheiros de configuração dos pipelines de integração e entrega contínuas.

Segundo o GitLab, a validação insuficiente destas expressões pode permitir que um atacante não autenticado execute código arbitrário no servidor, através de uma expressão regular especialmente construída. A exploração depende de determinadas condições, mas a possibilidade de execução remota de código sem credenciais torna a vulnerabilidade especialmente crítica em instalações acessíveis a partir da Internet.

O GitLab corrigiu a falha nas versões 19.4.2, 19.3.5 e 19.2.8 das edições Community Edition (CE) e Enterprise Edition (EE). Na altura da publicação das atualizações, a empresa recomendou que todas as organizações com instalações próprias atualizassem imediatamente os seus sistemas para uma das versões corrigidas.

O fornecedor esclareceu ainda que o serviço GitLab.com já estava atualizado e que os clientes de GitLab Dedicated não necessitavam de tomar medidas adicionais.

Shadowserver identifica mais de 11 mil servidores expostos a outra falha crítica

A monitorização da Shadowserver revelou que a exposição dos servidores GitLab não se limita à CVE-2026-97229. Segundo os dados divulgados pela organização, existem também mais de 11.300 instâncias vulneráveis à CVE-2026-110264, outra falha de gravidade máxima relacionada com o compilador de expressões regulares da plataforma.

Esta segunda vulnerabilidade, corrigida pelo GitLab em outubro, também pode permitir a execução de código arbitrário em instâncias afetadas.

A Shadowserver indicou que os resultados foram obtidos a partir de um universo de aproximadamente 39 mil instâncias GitLab observadas diariamente.

Os números correspondem a servidores identificados como vulneráveis pela organização e não significam que todos tenham sido comprometidos. Ainda assim, demonstram que uma parte relevante das instalações expostas continua sem as correções necessárias.

A coexistência de duas vulnerabilidades críticas no mesmo componente reforça a importância de as organizações verificarem não apenas se instalaram uma atualização recente, mas também se a versão em utilização corrige todas as falhas conhecidas.

CISA confirma exploração ativa

A inclusão da CVE-2026-97229 no catálogo KEV confirma que a vulnerabilidade deixou de representar apenas um risco teórico.

A CISA estabeleceu um prazo de correção para as agências federais norte-americanas abrangidas pelas obrigações de segurança aplicáveis, reforçando a urgência da atualização dos servidores. O catálogo KEV é utilizado como referência para a priorização de vulnerabilidades, uma vez que identifica falhas para as quais existem evidências de exploração em ataques reais.

Desde novembro de 2021, a agência norte-americana adicionou seis vulnerabilidades do GitLab ao catálogo, incluindo uma que também foi utilizada em ataques de ransomware.

A recorrência destes incidentes evidencia os riscos associados à exposição de plataformas de desenvolvimento, particularmente quando estas concentram código-fonte, credenciais e mecanismos de automatização.

GitLab acumula vulnerabilidades críticas em 2026

A CVE-2026-97229 surge na sequência de outras falhas de segurança identificadas no GitLab ao longo deste ano.

Em janeiro, a empresa corrigiu a CVE-2026-0723, uma vulnerabilidade de gravidade elevada que permitia contornar a autenticação de dois fatores.

Em setembro, foi disponibilizada uma correção para a CVE-2026-85706, uma falha de gravidade máxima na API de commits dos repositórios, que podia ser explorada para obter credenciais e outros dados sensíveis.

Esta última vulnerabilidade também foi adicionada ao catálogo KEV da CISA, depois de terem sido identificadas atividades de exploração e pesquisas por servidores vulneráveis.

Em outubro, o GitLab corrigiu ainda a CVE-2026-110264, igualmente associada ao compilador de expressões regulares do sistema de CI/CD.

A sucessão de vulnerabilidades reforça a necessidade de manter atualizadas as plataformas de desenvolvimento, sobretudo em ambientes empresariais nos quais o GitLab está integrado com sistemas de produção e ferramentas de automatização.

Organizações devem atualizar instalações próprias

Perante a exploração ativa da CVE-2026-97229, as organizações que utilizam versões autogeridas do GitLab devem verificar imediatamente a versão instalada e aplicar as atualizações de segurança disponibilizadas pelo fornecedor.

A prioridade deve incidir sobre os servidores expostos à Internet, sem excluir as instalações internas que possam ser alcançadas a partir de outros sistemas comprometidos.

As equipas de segurança devem também analisar os registos de atividade e os mecanismos de CI/CD para identificar comportamentos anómalos que possam indicar tentativas de exploração.

A atualização para versões corrigidas da CVE-2026-97229 não dispensa a verificação de outras vulnerabilidades entretanto divulgadas, incluindo a CVE-2026-110264.

De acordo com os dados apresentados pelo próprio GitLab, a plataforma conta com mais de 70 milhões de utilizadores registados e é utilizada por mais de metade das empresas da lista Fortune 100.

A dimensão da sua utilização e a importância dos processos que suporta tornam a proteção destas infraestruturas particularmente relevante. A existência de milhares de servidores ainda vulneráveis demonstra que, mesmo após a disponibilização de correções, o intervalo entre a divulgação de uma falha e a atualização efetiva dos sistemas continua a representar uma oportunidade para os atacantes.