Apa yang terjadi
CISA menambahkan CVE-2026-97229 ke katalog Known Exploited Vulnerabilities pada 2026-10-29 dengan eksploitasi di lapangan yang terkonfirmasi. Ini adalah integer overflow di kompiler ekspresi reguler CI/CD GitLab yang memungkinkan penyerang tanpa autentikasi menjalankan kode arbitrer; mesin regex yang sama menghasilkan RCE CVSS-10 terkait (CVE-2026-110264) beberapa hari kemudian. Jalur yang rentan telah ada sejak GitLab 7.0.
Mengapa penting
GitLab adalah bidang kontrol untuk sebagian besar rantai pasokan perangkat lunak AI — repos model/sumber, CI/CD yang melatih dan menerapkan model, dan semakin banyak integrasi server MCP. RCE tanpa autentikasi yang terkonfirmasi di lapangan di sini memberikan penyerang eksekusi kode di host yang sama yang menyimpan rahasia repo AI, artefak model, dan kredensial deploy.
Vektor serangan
Pengguna tanpa autentikasi memberikan ekspresi reguler yang dibuat khusus (misalnya dalam konfigurasi CI/CD) yang menyebabkan integer overflow di kompiler regex Ruby/Onigmo saat membangun bytecode pola. Pembungkusan tersebut merusak memori dengan cara yang dapat diarahkan ke eksekusi kode arbitrer sebelum input dicocokkan; Regexp.timeout tidak melindungi dari ini.
Sistem yang terdampak
GitLab CE/EE — integer overflow saat mengompilasi ekspresi reguler yang dibuat khusus dalam konfigurasi CI/CD (CVSS 10.0). Diperbaiki dalam set rilis patch untuk 18.11/19.0/19.1/19.2/19.3/19.4/19.5 (misalnya 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13).
Mitigasi
Tambal segera ke rilis yang diperbaiki (hanya instance yang dikelola sendiri; GitLab.com sudah diperbaiki). CISA mencantumkan ini di KEV dengan tanggal jatuh tempo federal 2026-11-01.