CISA: תוקפים מנצלים את החולשה החמורה ב-GitLab שתוקנה לפני שבועיים וחצי
החולשה CVE-2026-97229 מקבלת ציון 10 מתוך 10 ומאפשרת להריץ קוד על שרת GitLab בלי להזדהות. מי שמריץ שרת עצמאי ועוד לא עדכן, זה הזמן.
TL;DR בקצרה
- CVE-2026-97229 קיבלה ציון חומרה מקסימלי של 10.0
- GitLab תיקנה אותה ב-12.10 בגרסאות 19.4.2, 19.3.5 ו-19.2.8
- CISA הוסיפה אותה ב-29.10 לרשימת החולשות המנוצלות
- GitLab.com ו-GitLab Dedicated כבר מוגנים, השרתים העצמאיים לא
סוכנות הסייבר האמריקאית CISA הוסיפה ב-29 באוקטובר את החולשה CVE-2026-97229 ב-GitLab לרשימת החולשות שתוקפים מנצלים בפועל. מדובר בחולשה בציון חומרה 10.0, הגבוה ביותר בסולם. היא מאפשרת לתוקף בלי חשבון להריץ קוד על שרת GitLab. GitLab שחררה תיקון כבר ב-12 באוקטובר, אבל שרתים רבים עדיין לא עודכנו.
מה מאפשרת CVE-2026-97229
לפי הודעת העדכון של GitLab, הבעיה נמצאת ברכיב שמפענח ביטויים רגולריים בהגדרות של CI/CD. ביטוי רגולרי הוא תבנית חיפוש בטקסט, ו-CI/CD הוא מנגנון שמריץ בנייה ובדיקות של קוד באופן אוטומטי. הרכיב לא בדק את הביטויים מספיק. בתנאים מסוימים, ביטוי שנבנה בכוונה גורם לגלישת מספר שלם (integer overflow). כך התוקף יכול להריץ קוד על השרת.
החולשה פוגעת בגרסאות Community Edition וגם ב-Enterprise Edition. היא קיימת מגרסה 19.2 ועד לפני 19.2.8, בגרסה 19.3 לפני 19.3.5 ובגרסה 19.4 לפני 19.4.2. את החולשה גילה חוקר בכינוי joaxcar, דרך תוכנית הבאג באונטי HackerOne.
אותו עדכון סגר עוד 23 חולשות. חמש מהן מסווגות כחמורות. אחת מהן היא הזרקת הנחיות ל-GitLab Duo Agent Platform, פלטפורמת סוכני ה-AI של החברה.
למה ההוספה ל-KEV חשובה
KEV היא הרשימה של CISA לחולשות שיש עדות לניצול שלהן. הוספה לרשימה אומרת שהחולשה עברה מתיאוריה למציאות. לפי BleepingComputer, GitLab זיהתה ניסיונות ניצול ופרסמה כלי זיהוי ללקוחות עם שרת עצמאי. CISA גם הוסיפה ביחד איתה את חולשת ה-VPN של Cisco שעליה דיווחנו השבוע.
החשיפה גדולה. לפי BleepingComputer, Shadowserver עוקבת אחרי כמעט 2,800 שרתי GitLab Community Edition שחשופים לאינטרנט. לא ידוע כמה מהם כבר עודכנו. שרת GitLab מחזיק את קוד המקור של החברה, ולעיתים קרובות גם סיסמאות ומפתחות של סביבות ייצור. לכן פריצה אליו פוגעת הרבה מעבר לשרת עצמו.
איך מזהים ניסיון לנצל את CVE-2026-97229
GitLab פרסמה שישה כללי זיהוי לשרתים עצמאיים. הם מחפשים קריסות של רכיב הביטויים הרגולריים Onigmo ושל Workhorse. הם מזהים גם ביטויים עוינים בבדיקת ה-CI דרך GraphQL. כלל נוסף מחפש נתיבים ארוכים במיוחד עם תווים שאינם באנגלית. האחרון מזהה רצף שגיאות שנראה כמו סקריפט אוטומטי.
זו לא החולשה הקריטית הראשונה ב-GitLab החודש. לפי BleepingComputer, בתחילת אוקטובר החברה תיקנה חולשה קריטית אחרת באותו רכיב. CISA סימנה עד היום שש חולשות של GitLab כמנוצלות. ההנחיה המחייבת של CISA חלה רק על סוכנויות ממשל אמריקאיות. אבל הסוכנות קוראת לכל הארגונים לתת לעדכון עדיפות.
מה זה אומר עבורכם
- מריצים GitLab על שרת משלכם? עדכנו לגרסה 19.4.2, 19.3.5 או 19.2.8, לפי הענף שלכם. בענף 19.3, הגרסה החדשה מתקנת גם באג בדפי merge request שהופיע ב-19.3.4.
- תכננו חלון תחזוקה. שרת עם צומת אחד מושבת בזמן העדכון בגלל שינויים במסד הנתונים.
- הפעילו את כלי הזיהוי ש-GitLab פרסמה ובדקו בלוגים קריסות חריגות של רכיבי ה-CI.
- אם השרת היה חשוף לאינטרנט בלי עדכון, בדקו סימני פריצה והחליפו מפתחות וסיסמאות שנשמרו בו.
- משתמשים ב-GitLab.com או ב-GitLab Dedicated? אין צורך לעשות דבר, החברה כבר עדכנה אותם.
מה הלאה אחרי CVE-2026-97229
כאן עברו כ-17 ימים מהעדכון ועד ההכרזה של CISA. מי שדחה את העדכון לסוף החודש נשאר חשוף בדיוק בתקופה שבה התוקפים התחילו לפעול. כדאי להתייחס לכל עדכון קריטי של GitLab כעדכון דחוף, גם כשעוד אין דיווח על ניצול.
מקורות והרחבה
- Hackers now exploiting max severity GitLab flaw in attacksBleepingComputer
- GitLab Patch Release: 19.4.2, 19.3.5, 19.2.8GitLab
- CISA Adds Two Known Exploited Vulnerabilities to CatalogCISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
