Threat Response - Critical GitLab CI/CD RCE Vulnerability

A critical vulnerability in GitLab has been published which allows attackers to execute code on your GitLab server without requiring a password or any user interaction. This affects self-managed GitLab installations. The vulnerability was assigned a CVSSv3.1 score of 10.0 and GitLab released patches [1] which should be applied immediately to protect your infrastructure from compromise.

Description
A critical vulnerability has been discovered in both GitLab Community Edition (CE) and Enterprise Edition (EE) versions 19.2.0 through 19.4.1 tracked as CVE-2026-97229. The vulnerability affects GitLab's CI/CD pipeline configuration processor. When GitLab processes specially crafted regular expressions (pattern matching rules used in pipeline configurations), a programming error causes the system to miscalculate memory requirements. This integer overflow can allow attackers to execute arbitrary code directly on the GitLab application server. A Proof-of-Concept exploit has been publicly published for this vulnerability [2].

Impact
We estimate the impact of these vulnerabilities as high. If exploited, an attacker could gain complete control of your GitLab server. This is particularly serious because GitLab servers typically have access to:

• All source code repositories in your organisation
• CI/CD pipeline credentials and secrets
• Integration credentials for cloud platforms, container registries, and production systems
• Developer and administrator authentication information

A compromised GitLab server could allow attackers to steal intellectual property, inject malicious code into your software builds, access production environments through stored credentials, or disrupt your entire development and deployment process.

Risk
We estimate the risk of these vulnerabilities as high.The vulnerability can be exploited over the network without authentication, meaning attackers don't need valid credentials to attack your system. Security researchers have published proof-of-concept exploit code [2], making it easier for attackers to develop working exploits. While there are no confirmed reports of active exploitation yet [3], the combination of maximum severity, unauthenticated access, and public exploit code means exploitation attempts are likely imminent. Internet-facing GitLab installations are at highest risk, but internal installations are also vulnerable if attackers gain access to your network.

Mitigation
GitLab has released security updates that fix this vulnerability. We advise you to upgrade to one of the following versions as soon as possible:

• GitLab 19.2.8 (if running version 19.2.x)
• GitLab 19.3.5 (if running version 19.3.x)
• GitLab 19.4.2 (if running version 19.4.x)

There are no effective workarounds. Network restrictions may reduce exposure but do not eliminate the vulnerability. The only reliable fix is upgrading to a patched version.

What should you do?

1. Immediately identify all self-managed GitLab installations in your environment
2. Check the version of each GitLab instance (via Admin Area → Help, or by running sudo gitlab-rake gitlab:env:info on the server)
3. Prioritise patching of internet-facing GitLab servers first
4. Upgrade all affected installations to the fixed versions following GitLab's upgrade procedures
5. Create backups before upgrading in case you need to restore
6. Review logs for suspicious activity, including unexpected HTTP requests, unusual processes, or unfamiliar network connections from your GitLab servers
7. Audit access tokens and credentials that may have been accessible to the GitLab server, especially if you suspect prior compromise

https://GitLab.com (the hosted service) is already patched and requires no action from customers.

What will Northwave do?
For customers with Managed Detection and Response (MDR) services, our Security Operations Center will:

• Monitor for exploitation attempts and suspicious activity on your GitLab infrastructure if onboarded
• Analyse logs for indicators of compromise related to this vulnerability
• Alert you immediately if we detect potential exploitation
• Provide incident response support if a compromise is confirmed

For customers with vulnerability management services, we will:

• Identify affected onboarded GitLab installations in your environment
• Prioritise remediation based on exposure and criticality
• Verify successful patching after upgrades are completed
• Assist with post-patch validation and testing

If you need assistance identifying affected systems, planning your upgrade, or investigating potential compromise, please contact your Northwave account team immediately.

E-mail: soc@northwave-cybersecurity.com
Do you have an incident right now? Call our Incident Response Team: 00800 1744 0000

Disclaimer applies, see below.

Sources
[1]: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/
[2]: https://github.com/jburgess-r7/CVE-2026-97229-PoC
[3]: https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/

Er is een kritieke kwetsbaarheid in GitLab gepubliceerd waarmee aanvallers code kunnen uitvoeren op uw GitLab-server zonder wachtwoord of enige gebruikersinteractie. Dit treft self-managed GitLab-installaties. Aan deze kwetsbaarheid is een CVSSv3.1-score van 10,0 toegekend. GitLab heeft inmiddels patches uitgebracht [1], die onmiddellijk moeten worden geïnstalleerd om uw infrastructuur te beschermen tegen compromittering.

Beschrijving
Er is een kritieke kwetsbaarheid ontdekt in zowel GitLab Community Edition (CE) als Enterprise Edition (EE) versies 19.2.0 tot en met 19.4.1, geregistreerd als CVE-2026-97229.De kwetsbaarheid bevindt zich in de verwerking van CI/CD-pipelineconfiguraties binnen GitLab. Wanneer GitLab speciaal ontworpen reguliere expressies (patroonherkenningsregels die worden gebruikt in pipelineconfiguraties) verwerkt, kan een programmeerfout ervoor zorgen dat het systeem de benodigde hoeveelheid geheugen verkeerd berekent. Deze integer overflow kan aanvallers in staat stellen om willekeurige code uit te voeren op de GitLab-applicatieserver.Er is inmiddels een Proof-of-Concept (PoC) exploit openbaar gepubliceerd voor deze kwetsbaarheid [2].

Impact
Wij schatten de impact van deze kwetsbaarheid als hoog in. Indien succesvol misbruikt, kan een aanvaller volledige controle krijgen over uw GitLab-server. Dit is bijzonder ernstig omdat GitLab-servers doorgaans toegang hebben tot:

• Alle broncode-repositories binnen uw organisatie
• CI/CD-credentials en geheimen (secrets)
• Integratiegegevens voor cloudplatformen, containerregistries en productieomgevingen
• Authenticatiegegevens van ontwikkelaars en beheerders

Een gecompromitteerde GitLab-server kan aanvallers in staat stellen om intellectueel eigendom te stelen, kwaadaardige code toe te voegen aan softwarebuilds, toegang te verkrijgen tot productieomgevingen via opgeslagen credentials of het volledige ontwikkel- en implementatieproces te verstoren.

Risico
Wij schatten het risico van deze kwetsbaarheid als hoog in. De kwetsbaarheid kan via het netwerk worden misbruikt zonder authenticatie. Aanvallers hebben dus geen geldige inloggegevens nodig om een systeem aan te vallen. Daarnaast hebben beveiligingsonderzoekers Proof-of-Concept exploit code gepubliceerd [2], waardoor het voor aanvallers eenvoudiger wordt om werkende exploits te ontwikkelen.Hoewel er momenteel geen bevestigde meldingen zijn van actieve misbruikcampagnes [3], betekent de combinatie van maximale ernst, onbeperkte toegang zonder authenticatie en publiek beschikbare exploitcode dat misbruikpogingen waarschijnlijk op korte termijn zullen volgen.GitLab-instanties die direct vanaf internet bereikbaar zijn lopen het grootste risico, maar ook interne installaties zijn kwetsbaar wanneer aanvallers toegang krijgen tot het netwerk.

Mitigatie
GitLab heeft beveiligingsupdates uitgebracht die deze kwetsbaarheid verhelpen. Wij adviseren om zo snel mogelijk te upgraden naar een van de volgende versies:

• GitLab 19.2.8 (voor omgevingen die versie 19.2.x gebruiken)
• GitLab 19.3.5 (voor omgevingen die versie 19.3.x gebruiken)
• GitLab 19.4.2 (voor omgevingen die versie 19.4.x gebruiken)

Er zijn geen effectieve tijdelijke mitigaties of workarounds beschikbaar. Netwerkrestricties kunnen de blootstelling beperken, maar nemen de kwetsbaarheid niet weg. Upgraden naar een gepatchte versie is de enige betrouwbare oplossing.

Wat moet u doen?

1. Breng direct alle self-managed GitLab-installaties in uw omgeving in kaart.
2. Controleer de versie van elke GitLab-instantie (via Admin Area → Help of door het uitvoeren van sudo gitlab-rake gitlab:env:info op de server).
3. Geef prioriteit aan internet-facing GitLab-servers.
4. Upgrade alle kwetsbare installaties naar een van de beveiligde versies volgens de officiële upgradeprocedures van GitLab.
5. Maak back-ups voordat u de upgrade uitvoert, zodat een herstel mogelijk blijft.
6. Controleer logbestanden op verdachte activiteiten, zoals onverwachte HTTP-verzoeken, ongebruikelijke processen of onbekende netwerkverbindingen vanaf GitLab-servers.
7. Controleer toegangstokens en credentials die toegankelijk waren voor de GitLab-server, vooral wanneer er aanwijzingen zijn voor een eerdere compromittering.

GitLab.com (de gehoste SaaS-dienst) is reeds gepatcht. Klanten van deze dienst hoeven geen actie te ondernemen.

Wat zal Northwave doen?
Voor klanten met Managed Detection and Response (MDR)-diensten zal ons Security Operations Center:

• Monitoren op exploitatiepogingen en verdachte activiteiten op gemonitorde GitLab-infrastructuur
• Logbestanden analyseren op indicatoren van compromittering die verband houden met deze kwetsbaarheid
• U direct waarschuwen wanneer mogelijke exploitatie wordt vastgesteld
• Ondersteuning bieden bij incident response indien een compromittering wordt bevestigd

Voor klanten met vulnerability management-diensten zullen wij:

• Kwetsbare onboarded GitLab-installaties in uw omgeving identificeren
• Remediatie prioriteren op basis van blootstelling en bedrijfskritikaliteit
• Controleren of upgrades succesvol zijn uitgevoerd
• Ondersteunen bij validatie- en testwerkzaamheden na het patchen

Indien u hulp nodig heeft bij het identificeren van getroffen systemen, het plannen van upgrades of het onderzoeken van een mogelijke compromittering, neem dan zo spoedig mogelijk contact op met uw Northwave-accountteam.

E-mail: soc@northwave-cybersecurity.com
Heeft u nu een incident? Bel ons Incident Response Team: 00800 1744 0000

Bronnen
[1]: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/
[2]: https://github.com/jburgess-r7/CVE-2026-97229-PoC
[3]: https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/