GitLab traži hitnu nadogradnju — tri zakrpane grane zatvaraju kritičnu grešku

GitLab je, prema sigurnosnom biltenu, 12. listopada 2026. objavio tri zakrpane verzije — 19.4.2, 19.3.5 i 19.2.8 — za Community Edition (CE) i Enterprise Edition (EE). Tvrtka traži hitnu nadogradnju pogođenih samostalno upravljanih instalacija. GitLab.com već radi na zakrpanoj verziji, a korisnici usluge GitLab Dedicated ne moraju poduzeti radnju.

Kritična ranjivost CVE-2026-97229 zahvaća poslužitelje na granama 19.2, 19.3 i 19.4 koji još nisu dosegnuli odgovarajuću zakrpu. Censysovo upozorenje od 13. listopada navodi ocjenu 10,0 prema CVSS-u, objavljen dokaz koncepta i podatak da njegov tim tada nije znao za iskorištavanje u stvarnim napadima. Ozbiljnost greške razlog je za žurnu nadogradnju, ali sama ocjena ne znači da je pojedina instalacija kompromitirana.

Koja je grana pogođena i kamo nadograditi

Za samostalno upravljanu instancu odlučuje puni broj verzije GitLabova poslužitelja, a ne verzija Runnera ili pojedinog projekta. Rasponi su jednaki za CE i EE. Svaka pogođena grana ima vlastitu zakrpanu verziju:

• Na grani 19.2 pogođene su verzije od 19.2.0 do 19.2.7; odredište je 19.2.8.
• Na grani 19.3 pogođene su verzije od 19.3.0 do 19.3.4; odredište je 19.3.5.
• Na grani 19.4 pogođene su verzije 19.4.0 i 19.4.1; odredište je 19.4.2.

Verzija 19.3.4 stoga nije završna točka nadogradnje. Uz ranjivost, ta verzija ima i zaseban kvar na stranicama zahtjeva za spajanje kada je uključena integracija Ona; ispravak je u 19.3.5. Administrator treba zabilježiti puni broj verzije svake instance prije odabira paketa, osobito ako se instalacija sastoji od više čvorova.

Starije grane nisu u objavljenom rasponu kritične greške CVE-2026-97229, no isto sigurnosno izdanje popravlja i druge ranjivosti koje zahvaćaju ranija izdanja. Za takvu instalaciju treba utvrditi podržani put nadogradnje i moguće obvezne međukorake. Tri navedena odredišta odnose se na pogođene grane; ne znače da se svaka starija instalacija može nadograditi izravnim skokom.

Zašto je greška u CI/CD-u kritična

U središtu ranjivosti je cjelobrojno prekoračenje povezano s obradom regularnih izraza u CI/CD konfiguraciji. Posebno oblikovan izraz mogao bi, pod određenim uvjetima, omogućiti korisniku bez prijave izvršavanje proizvoljnog koda na GitLabovu poslužitelju. Rizik se zato odnosi na sam poslužitelj, a ne samo na ishod pojedinog automatiziranog posla.

Objavljeni opis ne razrađuje sve uvjete potrebne za aktiviranje greške. Sama činjenica da tim rijetko koristi regularne izraze u cjevovodima nije pouzdan način da se instalacija proglasi sigurnom: za odluku o zakrpi mjerodavna je verzija poslužitelja. Objavljeni dokaz koncepta pokazuje da su dostupne tehničke informacije za pokušaj iskorištavanja, dok podatak o stvarnim napadima ostaje ograničen na ono što je bilo poznato u trenutku upozorenja.

Isto izdanje ispravlja i druge propuste, među njima neovlašteno pokretanje određenih CI/CD cjevovoda, pristup repozitorijskim datotekama i izlaganje osjetljivih podataka u zapisima GitLab Pagesa. Ti propusti imaju različite pogođene raspone i uvjete. Zato provjera samo kritične ranjivosti ne zamjenjuje nadogradnju na zakrpano izdanje odgovarajuće grane.

Kako pripremiti nadogradnju

GitLabove upute za pripremu nadogradnje traže provjeru stanja instance, plan povratka i sigurnosnu kopiju koja odgovara načinu instalacije. U hitnom zahvatu taj redoslijed ostaje važan: bez početnog stanja i mogućnosti obnove teže je razlikovati kvar nastao nadogradnjom od problema koji je postojao prije nje.

1. Provjerite puni broj verzije, način instalacije i sve čvorove. Prije zahvata provjerite opću konfiguraciju, prijavu korisnika, pristup projektima i stanje pozadinskih migracija baze. Ako put do zakrpanog izdanja zahtijeva više koraka, migracije moraju završiti prije iduće nadogradnje.
2. Izradite sigurnosnu kopiju ili snimku instance i pripremite postupak obnove. Kod GitLabove sigurnosne kopije zasebno sačuvajte konfiguraciju i tajne podatke; za obnovu verzija odredišne instalacije mora odgovarati verziji iz koje je kopija nastala. Kod instalacije s više čvorova snimka mora obuhvatiti svaki čvor.
3. Za većinu vrsta instalacija pauzirajte pokretanje novih CI/CD poslova i dopustite aktivnima da završe, a zatim ugradite zakrpu namijenjenu postojećoj grani. Instanca s jednim čvorom imat će prekid rada dok se migracije ne dovrše. Instalacija s više čvorova može izbjeći prekid samo uz odgovarajući postupak nadogradnje.

Verzija 19.3.5 uključuje migracije koje se mogu nastaviti nakon ugradnje. Pojava stranice za prijavu zato sama po sebi ne znači da su svi poslovi nadogradnje završeni. Prije povratka na uobičajen rad treba provjeriti stanje migracija i zatim ponovno omogućiti preuzimanje CI/CD poslova.

Što provjeriti nakon zakrpe

Najprije potvrdite puni broj verzije na svim relevantnim čvorovima i ponovite provjeru opće konfiguracije te pozadinskih migracija. Zatim provjerite mogu li se korisnici prijaviti, otvoriti projekte i zahtjeve za spajanje te dohvatiti i poslati promjene u repozitorij. Time se otkrivaju poteškoće koje sam prikaz broja verzije ne može pokazati.

CI/CD zahtijeva zasebnu provjeru. Nakon ponovnog uključivanja Runnera provjerite preuzima li posao i može li reprezentativan cjevovod završiti; ako koristite registar kontejnerskih slika, provjerite slanje i preuzimanje slike. Obratite pozornost na poslove koji su bili aktivni tijekom prekida jer prijenos njihova traga ili artefakata može završiti pogreškom.

Ako migracije i dalje traju ili Runner ne preuzima poslove, nadogradnja još nije operativno završena i novi se poslovi ne bi trebali redovito puštati u rad. Pripremljena sigurnosna kopija i zabilježeno početno stanje tada omogućuju da se konkretan kvar ispita i, bude li potrebno, instanca vrati na prethodno radno stanje.

Pročitajte i:

• Dvije NetScaler zero-day ranjivosti već se iskorištavaju — zakrpa je hitna
• SharePoint zakrpa postoji od kolovoza, a CVE-2026-65660 sada se iskorištava
• Ponuda za rad na daljinu traži uplatu? Posao je gotovo sigurno prijevara