# Более 1000 серверов GitLab атакованы из-за критической уязвимости в CI/CD Source: TechNewsList (https://technewslist.com) Canonical URL: https://technewslist.com/ru/article/gitlab-servers-exploited-critical-ci-cd-regex-rce-vulnerabil-2026-11-03-night-ru Section: Software (https://technewslist.com/ru/software) Author: TechNewsList Language: ru Published: 2026-11-03T19:03:29.739+00:00 Updated: 2026-11-03T19:03:29.758621+00:00 > Более 1000 подключенных к интернету серверов GitLab атакованы через уязвимость в парсере регулярных выражений, что вызвало срочные директивы CISA. ## TL;DR - Более 1000 серверов GitLab остаются без исправлений и уязвимы для атак удаленного выполнения кода. - Критическая уязвимость CVE-2026-97229 вызвана целочисленным переполнением в компиляторе регулярных выражений CI/CD. - Агентство CISA добавило уязвимость в каталог известных угроз KEV и предписало федеральным органам срочно установить патчи. - Проект с открытым исходным кодом Alpine Linux был вынужден полностью перестроить серверы после попыток проникновения. ## Key points - Уязвимость имеет максимальную оценку CVSS 10.0, позволяя неавторизованным злоумышленникам выполнять команды с правами root. - Атакующие используют скомпрометированные серверы GitLab для доступа к проприетарному коду и кражи учетных данных. - Захваченные сборочные раннеры могут быть использованы для внедрения вредоносного кода в цепочки поставок ПО. - Сканирование выявило уязвимые серверы GitLab в корпоративных сетях Европы, Северной Америки и Азии. - Компания GitLab выпустила экстренные обновления безопасности и призвала администраторов к их немедленной установке. ## Что произошло В рамках срочного оповещения для мирового сообщества разработчиков агентство CISA и исследователи в сфере кибербезопасности подтвердили, что более 1000 подключенных к интернету серверов GitLab подвергаются активным кибератакам. Злоумышленники сканируют сеть и применяют эксплойты для критической уязвимости удаленного выполнения кода (Remote Code Execution), зарегистрированной под номером CVE-2026-97229, которая позволяет получать полный контроль над сервером с правами root без авторизации. Уязвимость с максимальной оценкой 10.0 по шкале CVSS вызвана ошибкой целочисленного переполнения в синтаксическом анализаторе регулярных выражений конвейеров CI/CD платформы GitLab. Отправляя специальный запрос на публичные интерфейсы, злоумышленники вызывают повреждение памяти в процессе парсинга, обходят систему аутентификации и получают права суперпользователя. Подтверждение масштабной эксплуатации побудило CISA включить уязвимость CVE-2026-97229 в перечень Known Exploited Vulnerabilities (KEV), обязав американские государственные структуры установить обновления в трехдневный срок. Реальную опасность подтвердил инцидент с дистрибутивом Alpine Linux, команде которого пришлось с нуля переустанавливать инфраструктуру серверов GitLab после фиксации попыток несанкционированного доступа. ## Почему это важно Репозитории исходного кода и конвейеры непрерывного развертывания представляют собой ключевые активы современной корпоративной IT-архитектуры. Платформа GitLab хранит интеллектуальную собственность, управляет сборочными скриптами, содержит секреты подключения к облачным серверам и закрытые ключи цифровой подписи программного обеспечения. Получение злоумышленником доступа к централизованному серверу создает угрозу для всей инфраструктуры компании. Взлом серверов GitLab позволяет проводить атаки на цепочки поставок программного обеспечения. Закрепившись в репозитории, злоумышленники могут скрытно модифицировать код, внедрять бэкдоры в продуктовые контейнеры и распространять зараженные обновления тысячам клиентов. Исторические атаки на SolarWinds и Codecov доказали эффективность компрометации инструментов разработки для шпионажа. При этом наличие более чем 1000 уязвимых серверов указывает на недостатки в управлении уязвимостями. Несмотря на выпуск экстренных патчей компанией GitLab, сотни организаций затягивают обновление публичных систем, подвергая сети риску заражения программами-вымогателями. ## Технические детали В основе CVE-2026-97229 лежит арифметическое переполнение в синтаксическом анализаторе, валидирующем регулярные выражения в файлах конфигурации конвейеров GitLab (`.gitlab-ci.yml`). При обработке сложных выражений с вложенными квантификаторами анализатор неверно рассчитывает объем требуемой динамической памяти. ![Серверные стойки в корпоративном дата-центре с инструментами разработки](https://www.bleepstatic.com/content/hl-images/2026/11/02/thumb/211x130_freezers.jpg) В результате выделяется буфер недостаточного размера, куда копируются пользовательские строки. Возникающее переполнение кучи (heap overflow) перезаписывает смежные указатели памяти и управляющие структуры процесса. Эксплойты перехватывают поток выполнения и передают управление шеллкоду, устанавливающему зашифрованное соединение с командным сервером злоумышленников (C2). Получив доступ к командной строке, скрипты запускают сбор данных. Они извлекают пароли локальных баз данных, токены деплоя и приватные ключи SSH из переменных окружения CI/CD, а также прописывают собственные публичные ключи в файл authorized_keys пользователя root. ![Панель управления облачными контейнерами с системной телеметрией](https://www.bleepstatic.com/content/hl-images/2026/10/31/northflank-header.jpg) ## Влияние на рынок и отрасль Активная эксплуатация уязвимости напоминает о рисках самостоятельного хостинга инструментов разработки. В последние годы специалистам по DevSecOps приходится регулярно реагировать на критические уязвимости в платформах GitLab, Atlassian Confluence и JetBrains TeamCity. Это стимулирует переход бизнеса к облачным сервисам SaaS, где за обновления безопасности отвечают команды поставщика. В отрасли кибербезопасности инцидент вызвал волну запросов на расследование инцидентов. Центры мониторинга безопасности (SOC) анализируют сетевые журналы на предмет признаков эксплуатации CVE-2026-97229, отмечая конкуренцию между группами киберпреступников за доступ к уязвимым хостам. Проекты с открытым исходным кодом также усиливают защиту. Случай с Alpine Linux показал, что некоммерческие команды являются удобной целью для атак на базовые пакеты Linux. Отраслевые фонды пересматривают подходы к финансированию защищенных сборочных сред для открытого ПО. ## За чем следить дальше Инженерам DevSecOps необходимо незамедлительно проверить версии серверов GitLab. Исправления доступны в релизах 17.5.1, 17.4.3 и 17.3.5. Если оперативное обновление невозможно, следует ограничить доступ к веб-интерфейсам с помощью VPN или списков разрешенных IP-адресов и отключить публичную регистрацию. Эксперты будут отслеживать возможные признаки вторичных атак через скомпрометированные сборочные серверы, проверяя скомпилированные пакеты на наличие скрытых закладок. Кроме того, регуляторы проконтролируют выполнение директив CISA государственными учреждениями. Эти меры могут послужить основой для введения более жестких требований к срокам установки патчей в частном секторе. ## Источники - [BleepingComputer Security](https://www.bleepingcomputer.com/news/security/over-1-000-gitlab-servers-vulnerable-to-code-execution-attacks/) - [GitLab Software Architecture Profile](https://en.wikipedia.org/wiki/GitLab) - [Arbitrary Code Execution Concepts](https://en.wikipedia.org/wiki/Arbitrary_code_execution) Mentions: GitLab, CISA, Alpine Linux, CVE-2026-97229, Remote Code Execution, DevSecOps ## Sources - [BleepingComputer Security](https://www.bleepingcomputer.com/news/security/over-1-000-gitlab-servers-vulnerable-to-code-execution-attacks/) - [GitLab Software Architecture Profile](https://en.wikipedia.org/wiki/GitLab) - [Arbitrary Code Execution Concepts](https://en.wikipedia.org/wiki/Arbitrary_code_execution)