Crítica 10,0Exploração ativa
Estouro de inteiro em GitLab
- Gravidade
- Crítica
- CVSS 10,0 (v3.1)
- Exploração ativa
- Confirmada
- catálogo KEV da CISA desde 29 out 2026
- Chance de exploração
- 18,4%
- EPSS, próximos 30 dias
- Fontes
- 2
- 1 oficial
Resumo
Foi divulgada uma vulnerabilidade em GitLab do tipo estouro de inteiro. A gravidade é crítica, com nota CVSS 10,0.
Há evidência de exploração ativa: a agência americana CISA incluiu a falha no catálogo KEV em 29 out 2026.
O modelo EPSS estima 18,4% de chance de exploração nos próximos 30 dias.
Versões afetadas
- GitLab: 19.2 até antes de 19.2.8
- GitLab: 19.3 até antes de 19.3.5
- GitLab: 19.4 até antes de 19.4.2
Segundo o registro oficial do CVE. Confira a versão exata com o fabricante.
O que fazer
- Verifique se a sua empresa usa GitLab e em qual versão.
- Aplique a atualização de segurança do fabricante (veja as referências abaixo).
- Se não der para atualizar agora, reduza a exposição, por exemplo restringindo o acesso pela internet. Isso não substitui a correção.
- Como a falha já está sendo explorada, procure sinais de comprometimento nos sistemas que ficaram expostos.
Linha do tempo das fontes
- CISA KEVoficial Incluída no catálogo KEV: exploração ativa confirmada
- The Hacker Newsimprensa Attacker Tried to Exploit Alpine Linux’s GitLab via CVSS 10.0 Flaw Its Ruby Left Open
Descrição oficial CVE.org, em inglês
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation.
Referências
Este alerta reúne informação pública de fontes oficiais e da imprensa especializada, revisada pela equipe InfocuestaSec antes de publicar. Ele não substitui o comunicado do fabricante. Não publicamos códigos de exploração.