---
title: "नतीजों से तीन हफ़्ते पहले: Rapid7 ने GitLab की 10.0 खामी को लाइव प्रोडक्ट डेमो बना दिया"
description: "248 कैरेक्टर का एक रेगुलर एक्सप्रेशन (regex) बिना पैच वाले सेल्फ-मैनेज्ड GitLab सर्वरों पर कमांड चला सकता है। Rapid7 ने GitLab के 12 अक्टूबर के पैच के एक दिन बाद यह एक्सप्लॉयट दोहराया और उसी दिन अपने पेइंग कस्टमर्स तक डिटेक्शन पहुंचा दिया — 2 अक्टूबर को लॉन्च की गई अपनी इंटेलिजेंस यूनिट का यह पहला सार्वजनिक रन लगता है।"
publisher: "The Inference"
section: "Safety"
published: 2026-10-16T01:38:40.867Z
modified: 2026-10-16T01:38:40.867Z
canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/hi
language: hi
keywords: "Cybersecurity, Vulnerabilities, GitLab, Rapid7, Earnings"
---

# नतीजों से तीन हफ़्ते पहले: Rapid7 ने GitLab की 10.0 खामी को लाइव प्रोडक्ट डेमो बना दिया

> 248 कैरेक्टर का एक रेगुलर एक्सप्रेशन (regex) बिना पैच वाले सेल्फ-मैनेज्ड GitLab सर्वरों पर कमांड चला सकता है। Rapid7 ने GitLab के 12 अक्टूबर के पैच के एक दिन बाद यह एक्सप्लॉयट दोहराया और उसी दिन अपने पेइंग कस्टमर्स तक डिटेक्शन पहुंचा दिया — 2 अक्टूबर को लॉन्च की गई अपनी इंटेलिजेंस यूनिट का यह पहला सार्वजनिक रन लगता है।

## सुरक्षा-पहरे को चकमा देता regex

[GitLab](https://theinference.org/markets/companies/gitlab) ने 12 अक्टूबर को CVE-2026-97229 के लिए [आउट-ऑफ-बैंड पैच जारी किया](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/) — यानी अपने सामान्य महीनेवार शेड्यूल से बाहर आई एक सुरक्षा रिलीज़। यह इंटीजर ओवरफ़्लो की खामी है, जिसे कंपनी ने CVSS सेवेरिटी स्केल पर 10.0 यानी अधिकतम अंक दिए हैं [1][2]। खामी CI/CD कॉन्फ़िगरेशन — वे पाइपलाइन जिनसे सॉफ्टवेयर बनता और डिप्लॉय होता है — में लिखे जाने वाले रेगुलर एक्सप्रेशन के कंपाइलर में बैठी है और सेल्फ-मैनेज्ड कम्युनिटी व एंटरप्राइज़ एडिशन दोनों को लगती है। उस दिन ठीक की गई कुल 24 खामियों में यह भी एक थी। इसकी जानकारी joaxcar नाम से काम करने वाले एक रिसर्चर की HackerOne बग-बाउंटी रिपोर्ट के ज़रिए GitLab तक पहुंची थी [2][3]।

एक दिन बाद [Rapid7](https://theinference.org/markets/companies/rapid7) ने बताया कि उसने [पूरी एक्सप्लॉयट चेन आधिकारिक, बिना पैच वाली 19.4.1 कम्युनिटी एडिशन इमेज पर दोहरा ली](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/) — एड्रेस-स्पेस रैंडमाइज़ेशन चालू रखते हुए। वही इनपुट पैच हो चुके 19.4.2 पर नाकाम रहा [1]। अंदर घुसने का रास्ता दो चरणों का है: .gitlab-ci.yml पाइपलाइन फ़ाइल में रखा गया एक खास तरह का रेगुलर एक्सप्रेशन GitLab की वैलिडेशन पास कर लेता है। फिर वह UTF-8 कैरेक्टर वाले रिपॉज़िटरी पाथ पर दोबारा कंपाइल होता है, और वहीं Ruby के Onigmo इंजन में होने वाला इंटीजर ओवरफ़्लो हमलावर के हाथों प्रोसेस का कंट्रोल आ जाता है।

## पैच से काम करने वाले एक्सप्लॉयट तक सिर्फ 24 घंटे

इसके बाद ऑपरेटिंग सिस्टम की कमांड्स git यूज़र के तौर पर चलती हैं — GitLab एप्लिकेशन जिस सर्विस अकाउंट के नीचे चलती है, वह यही है [1]। [एक सार्वजनिक प्रूफ़ ऑफ़ कॉन्सेप्ट](https://x.com/_CryptoCat/status/2110052018593362428) 248 कैरेक्टर को 2GB से ज़्यादा इंजन कोड में बदलकर system() तक पहुंच जाता है [4]। GitLab के मुताबिक यह बग पूरी तरह अनऑथेंटिकेटेड है। हालांकि Rapid7 के प्रयोग में पहले वह कॉन्फ़िगरेशन फ़ाइल वहां पहुंचाने का कोई रास्ता चाहिए था — यह शर्त वहां गायब हो जाती है जहां कोई इंस्टेंस सबको रजिस्टर करने और पब्लिक प्रोजेक्ट खोलने की इजाज़त देता है [1]।

## सेल्फ-मैनेज्ड सर्वरों पर जमा है सोर्स कोड और क्लाउड क्रेडेंशियल

इन सर्वरों के पीछे जो बैठा है, वही यहां 10.0 की खामी पर हमलावरों को तेज़ी से खींच लाता है: किसी संगठन का सोर्स कोड, उसकी बिल्ड पाइपलाइन और [वे क्रेडेंशियल जिनसे ये पाइपलाइन क्लाउड अकाउंट तक पहुंचती हैं](https://theinference.org/article/two-dozen-firms-breached-through-gitlab-stored-secrets-and-gitlab-shipped-the-cure-a-day-later) — iCounter के ग्लोबल रिसर्च कोऑर्डिनेटर रोमन वाई. सानिकोव (Roman Y. Sannikov) के शब्दों में [5]। GitLab की ग्राहक कंपनियों में Fortune 100 की आधी से ज़्यादा शामिल हैं [3]।

दो महीनों में GitLab की यह दूसरी 10.0 दर्जे की खामी है। सितंबर की पाथ-ट्रैवर्सल खामी CVE-2026-85706 GitLab के पैच जारी करने के एक दिन बाद ही अमेरिकी साइबरसिक्योरिटी एजेंसी CISA के एक्सप्लॉयटेड वल्नरेबिलिटीज़ कैटलॉग में जा चुकी थी और watchTowr के रिसर्चर्स पहले से ही प्रोब दर्ज कर रहे थे [3][6]। सानिकोव ने कहा, "टीमों को यह मानकर चलना चाहिए कि डिस्क्लोज़र और एक्सप्लॉयटेशन के बीच का फासला हफ्तों का नहीं, दिनों का होता है" [5]। 13 अक्टूबर तक नई खामी के एक्सप्लॉयट की पुष्टि नहीं हुई थी [1]।

## उसी दिन की डिटेक्शन बनी नई यूनिट की पहली प्रोडक्ट रन

असली बिज़नेस कहानी टाइमिंग में है। Rapid7 इंटेलिजेंस — खामियों की रिसर्च सीधे पेड प्रोडक्ट्स तक पहुंचाने के लिए [2 अक्टूबर को लॉन्च](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html) हुई यूनिट — ने इस खामी का ऑथेंटिकेटेड डिटेक्शन चेक 13 अक्टूबर की उसी कंटेंट रिलीज़ में अपने Exposure Command, Vulnerability Management और Nexpose प्रोडक्ट्स तक पहुंचा दिया [1][7]। पेइंग कस्टमर्स के लिए यही लॉन्च पिच वर्किंग कोड की शक्ल में सामने आई है: खामी सार्वजनिक होने के एक दिन के भीतर रिसर्च से प्रोडक्ट तक पहुंच गई।

नैस्डैक पर लिस्टेड पैरेंट कंपनी के लिए यह डेमो ज़रूरी भी है। [जून तिमाही में रेवेन्यू साल-दर-साल 1.5 फीसदी गिरा](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327) — यह लगातार दूसरी गिरावट है — और जेपीमॉर्गन ने सितंबर में स्टॉक को अंडरवेट करते हुए 12 डॉलर का टारगेट रखा [8][9]। [तीसरी तिमाही के नतीजे 4 नवंबर को आएंगे](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526) [8]।

*Chart: **Rapid7 की ग्रोथ 13 फीसदी से फिसलकर लगातार दो तिमाहियों से गिर रही है** Rapid7 की साल-दर-साल रेवेन्यू ग्रोथ का लाइन चार्ट, बारह तिमाहियों पर: Q3 2023 की 13.1 फीसदी से घटकर Q2 2026 में माइनस 1.5 फीसदी, 2026 में ज़ीरो ग्रोथ के नीचे उतरती हुई।*

*कैलेंडर तिमाही के हिसाब से साल-दर-साल रेवेन्यू ग्रोथ, Rapid7 की SEC फाइलिंग्स में रिपोर्ट के मुताबिक। Q2 '26 की समाप्ति जून 2026 में हुई। [9]*

## GitLab 21 फीसदी बढ़ रहा, Rapid7 सिकुड़ रहा

GitLab (NASDAQ: GTLB) एक तरफ बढ़ रहा है, दूसरी तरफ जोखिम में भी खड़ा है। [जुलाई में खत्म हुई तिमाही में रेवेन्यू 21.3 फीसदी बढ़कर 286.3 मिलियन डॉलर पहुंचा](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482), जबकि नेट घाटा 36.8 मिलियन डॉलर रहा [10]। GitLab.com पहले ही पैच हो चुका है और Dedicated — एक ग्राहक के लिए अलग से होस्ट की जाने वाली उसकी सर्विस — पर बैठे ग्राहकों को कुछ करने की ज़रूरत नहीं। इसलिए सीधा नुकसान ग्राहकों के सर्वर पर पड़ेगा, कंपनी के हिसाब-किताब पर नहीं [1]।

*Chart: **चार्ट की गई बारहों तिमाहियों में GitLab का रेवेन्यू 20 फीसदी से ज़्यादा बढ़ा** GitLab की तिमाही रेवेन्यू का कॉलम चार्ट: अक्टूबर 2023 में खत्म हुई तिमाही के 150 मिलियन डॉलर से बढ़ते हुए जुलाई 2026 में खत्म हुई तिमाही में 286 मिलियन डॉलर, हर तिमाही में साल-दर-साल ग्रोथ 20 फीसदी से ऊपर।*

*कैलेंडर तिमाही के हिसाब से तिमाही रेवेन्यू, अमेरिकी डॉलर में (मिलियन)। GitLab की फिस्कल तिमाहियां Rapid7 से एक महीने बाद खत्म होती हैं: उसकी Q2 '26 की समाप्ति 31 जुलाई 2026 को हुई — लेख में जिस तिमाही का आंकड़ा 286.3 मिलियन डॉलर और 21.3 फीसदी ग्रोथ बताया गया है, वह यही है। GitLab की SEC फाइलिंग्स से। [11]*

## तुरंत अपग्रेड करें, फिर नज़र इन दो तारीखों पर

पैच के टारगेट साफ हैं: 19.2.8, 19.3.5 और 19.4.2 — और इन्हें अगले मंथली साइकल की बजाय अभी इंस्टॉल कर लेना है [1]। जहां अपग्रेड में देरी पड़नी हो, वहां GitLab की सलाह है कि पब्लिक प्रोजेक्ट्स पर अनाम एक्सेस (anonymous access) सीमित कर दें और जिन यूज़र्स पर भरोसा न हो उन्हें प्रोजेक्ट बनाने से रोक दें [1]। जो इंस्टेंस डिस्क्लोज़र की अवधि भर अनपैच्ड पड़ा रहा, वहां सानिकोव की सलाह है कि CI/CD के सीक्रेट्स और टोकन रोटेट कर दें और डिस्क्लोज़र के बाद से रनर और पाइपलाइन की एक्टिविटी जांच लें [5]।

मामला किस तरफ जाएगा, यह दो निशान बताएंगे। पहला यह कि CVE-2026-97229 अपनी सितंबर वाली सगी खामी की तरह CISA के कैटलॉग तक पहुंच जाता है या नहीं [3][6]। दूसरा 4 नवंबर, जब Rapid7 तीसरी तिमाही के नतीजे देगा और बताना होगा कि इंटेलिजेंस यूनिट पेड प्रोडक्ट्स अपनाने वाले ग्राहकों में नज़र आने लगी है या नहीं [8]। तब तक जोखिम उसी के पास टिका है जो कोई भूला-बिसरा सेल्फ-मैनेज्ड इंस्टेंस चलाए बैठा है।

## Takeaway

GitLab की 10.0 दर्जे की regex खामी का पैच आ चुका है, लेकिन जोखिम अब भी बिना पैच वाले सेल्फ-मैनेज्ड सर्वरों पर टिका है। Rapid7 का उसी दिन पहुंचा डिटेक्शन 2 अक्टूबर को लॉन्च की गई इंटेलिजेंस यूनिट का पहला कामकाजी सबूत है।

## Sources

1. [Rapid7, CVE-2026-97229: Critical Unauthenticated Remote Code Execution in GitLab, 13 October 2026](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/)
2. [eSecurity Planet, GitLab Warns of CVSS 10.0 Flaw That Could Allow Server Takeover, 13 October 2026](https://www.esecurityplanet.com/news/news-gitlab-critical-server-takeover-flaw/)
3. [BleepingComputer, GitLab warns of max severity code execution vulnerability, 12 October 2026](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/)
4. [@_CryptoCat on X, Rapid7 PoC for CVE-2026-97229, 13 October 2026](https://x.com/_CryptoCat/status/2110052018593362428)
5. [SC Media, GitLab patches 10.0 flaw in its CE and EE products, 14 October 2026](https://www.scworld.com/news/gitlab-patches-10-0-flaw-in-its-ce-and-ee-products)
6. [TechRadar via MSN, CISA warns hackers are exploiting this max severity GitLab flaw, 14 September 2026](https://www.msn.com/en-us/technology/cybersecurity/cisa-warns-hackers-are-exploiting-this-max-severity-gitlab-flaw/ar-AA2ccpv4)
7. [Rapid7 press release via Yahoo Finance, Rapid7 Launches Rapid7 Intelligence to Harness Threat Data Against Attackers, 2 October 2026](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html)
8. [GlobeNewswire via MarketScreener, Rapid7 to Report Third Quarter 2026 Financial Results on November 4, 14 October 2026 (page also carries the 15 September JPMorgan underweight call, $12 target)](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526)
9. [Rapid7, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327)
10. [GitLab, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)
11. [GitLab, quarterly figures from its SEC filings, retrieved 16 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)


---

नतीजों से तीन हफ़्ते पहले: Rapid7 ने GitLab की 10.0 खामी को लाइव प्रोडक्ट डेमो बना दिया — The Inference. Canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/hi