Rapid7 transforma falha 10.0 do GitLab em demonstração real de produto, a três semanas dos resultados

Uma expressão regular que dribla as defesas

A GitLab▼−5.70% — GitLab, down 5.70 percent today lançou em 12 de outubro um patch fora de banda↗ — uma correção de segurança fora do cronograma mensal normal — para a CVE-2026-97229, um estouro de inteiro (integer overflow) que a empresa classificou com nota 10.0, a máxima da escala de gravidade CVSS ¹². A falha está no compilador das expressões regulares usadas nas configurações de CI/CD, os pipelines que constroem e implantam software, nas edições autogerenciadas Community e Enterprise. Foi uma das 24 vulnerabilidades corrigidas naquele dia e chegou à GitLab por meio de um relatório de bug bounty na HackerOne, feito por um pesquisador que atende por joaxcar ²³.

Um dia depois, a Rapid7▼−3.59% — Rapid7, down 3.59 percent today afirmou ter reproduzido toda a cadeia de exploração na imagem oficial, sem correção, da versão 19.4.1 da Community Edition↗, com a randomização de espaço de endereçamento ativada; a mesma entrada falhou contra a versão corrigida, 19.4.2 ¹. O caminho de entrada tem duas etapas: uma expressão regular forjada em um arquivo de pipeline .gitlab-ci.yml passa pela validação do GitLab e depois é recompilada contra um caminho de repositório com caracteres UTF-8 — e é ali que um estouro de inteiro no motor Onigmo, do Ruby, entrega ao atacante o controle do processo.

Vinte e quatro horas do patch à exploração funcional

Comandos do sistema operacional passam então a rodar como o usuário git, a conta de serviço sob a qual a aplicação do GitLab é executada ¹. Uma prova de conceito pública↗ transforma 248 caracteres em mais de 2 GB de código do motor e chega à função system() ⁴. A GitLab classifica o bug como totalmente não autenticado. Na reprodução da Rapid7, ainda era necessário plantar antes esse arquivo de configuração — barreira que desaparece em qualquer instância em que qualquer pessoa possa se registrar e abrir um projeto público ¹.

Servidores autogerenciados guardam código-fonte e credenciais de nuvem

O que está por trás desses servidores explica por que uma falha 10.0 como essa atrai atacantes com rapidez: o código-fonte de uma organização, seus pipelines de compilação e as credenciais que esses pipelines usam para acessar contas de nuvem, nas palavras de Roman Y. Sannikov, coordenador global de pesquisas da iCounter ⁵. A GitLab conta com mais da metade das empresas da Fortune 100 entre seus clientes ³.

É a segunda falha de gravidade máxima da GitLab em dois meses. O bug de travessia de diretórios (path traversal) de setembro, a CVE-2026-85706, entrou no catálogo de vulnerabilidades em exploração mantido pela CISA, a agência americana de cibersegurança, um dia depois de a GitLab liberar o patch, e pesquisadores da watchTowr já registravam sondagens ³⁶. “As equipes devem assumir que a janela entre a divulgação e a exploração é de dias, não de semanas”, disse Sannikov ⁵. Até 13 de outubro, não havia exploração confirmada da nova falha ¹.

Detecção no mesmo dia é a estreia da nova unidade em produto

O que faz disso uma história de negócios é o timing. A Rapid7 Intelligence, unidade lançada em 2 de outubro↗ para levar pesquisa de vulnerabilidades direto a produtos pagos, embarcou, na atualização de conteúdo de 13 de outubro, uma verificação de detecção autenticada desta falha em seus produtos Exposure Command, Vulnerability Management e Nexpose ¹⁷. Para clientes pagantes, o discurso de lançamento se traduz em código funcionando: pesquisa que chega ao produto em até um dia depois de a falha se tornar pública.

A matriz listada na Nasdaq precisa da demonstração. A receita caiu 1,5% na comparação anual no trimestre encerrado em junho↗ — o segundo recuo consecutivo —, e o JPMorgan rebaixou a ação para underweight em setembro, com preço-alvo de US$ 12 ⁸⁹. A divulgação dos resultados do terceiro trimestre está marcada para 4 de novembro↗ ⁸.

GitLab cresce 21% enquanto Rapid7 encolhe

A GitLab (Nasdaq: GTLB) cresce e se expõe ao mesmo tempo: a receita subiu 21,3%, para US$ 286,3 milhões, no trimestre encerrado em julho↗, com prejuízo líquido de US$ 36,8 milhões ¹⁰. O GitLab.com já recebeu o patch, e os clientes do Dedicated — sua oferta hospedada de locatário único — não precisam fazer nada. O dano direto, portanto, recai sobre os servidores dos clientes, não sobre o balanço do fornecedor ¹.

Atualize agora e fique de olho em duas datas

As versões-alvo do patch são específicas: 19.2.8, 19.3.5 e 19.4.2, para instalar agora, e não no próximo ciclo mensal ¹. Se a atualização tiver de esperar, a GitLab recomenda restringir o acesso anônimo a projetos públicos e impedir que usuários não confiáveis criem esses projetos ¹. Para qualquer instância que tenha ficado sem o patch durante a janela de divulgação, o conselho de Sannikov é rotacionar segredos e tokens de CI/CD e revisar a atividade de runners e pipelines desde a divulgação ⁵.

Dois marcos vão dizer como essa história termina. O primeiro é saber se a CVE-2026-97229 segue a falha de setembro rumo ao catálogo da CISA ³⁶. O outro é 4 de novembro, quando a Rapid7 divulga os resultados do terceiro trimestre e terá de dizer se a unidade Intelligence já aparece na adoção dos produtos pagos ⁸. Até lá, a exposição fica com quem opera uma instância autogerenciada esquecida.