---
title: "Rapid7 transforma falha 10.0 do GitLab em demonstração real de produto, a três semanas dos resultados"
description: "Uma expressão regular (regex) de 248 caracteres consegue executar comandos em servidores GitLab autogerenciados sem correção. Um dia após o patch lançado pela GitLab em 12 de outubro, a Rapid7 reproduziu a exploração e entregou a detecção a clientes pagantes no mesmo dia — no que parece ser a primeira atuação pública da unidade Intelligence, criada pela companhia em 2 de outubro."
publisher: "The Inference"
section: "Safety"
published: 2026-10-16T01:38:40.867Z
modified: 2026-10-16T01:38:40.867Z
canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/pt
language: pt
keywords: "Cybersecurity, Vulnerabilities, GitLab, Rapid7, Earnings"
---

# Rapid7 transforma falha 10.0 do GitLab em demonstração real de produto, a três semanas dos resultados

> Uma expressão regular (regex) de 248 caracteres consegue executar comandos em servidores GitLab autogerenciados sem correção. Um dia após o patch lançado pela GitLab em 12 de outubro, a Rapid7 reproduziu a exploração e entregou a detecção a clientes pagantes no mesmo dia — no que parece ser a primeira atuação pública da unidade Intelligence, criada pela companhia em 2 de outubro.

## Uma expressão regular que dribla as defesas

A [GitLab](https://theinference.org/markets/companies/gitlab) [lançou em 12 de outubro um patch fora de banda](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/) — uma correção de segurança fora do cronograma mensal normal — para a CVE-2026-97229, um estouro de inteiro (integer overflow) que a empresa classificou com nota 10.0, a máxima da escala de gravidade CVSS [1][2]. A falha está no compilador das expressões regulares usadas nas configurações de CI/CD, os pipelines que constroem e implantam software, nas edições autogerenciadas Community e Enterprise. Foi uma das 24 vulnerabilidades corrigidas naquele dia e chegou à GitLab por meio de um relatório de bug bounty na HackerOne, feito por um pesquisador que atende por joaxcar [2][3].

Um dia depois, a [Rapid7](https://theinference.org/markets/companies/rapid7) afirmou ter [reproduzido toda a cadeia de exploração na imagem oficial, sem correção, da versão 19.4.1 da Community Edition](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/), com a randomização de espaço de endereçamento ativada; a mesma entrada falhou contra a versão corrigida, 19.4.2 [1]. O caminho de entrada tem duas etapas: uma expressão regular forjada em um arquivo de pipeline .gitlab-ci.yml passa pela validação do GitLab e depois é recompilada contra um caminho de repositório com caracteres UTF-8 — e é ali que um estouro de inteiro no motor Onigmo, do Ruby, entrega ao atacante o controle do processo.

## Vinte e quatro horas do patch à exploração funcional

Comandos do sistema operacional passam então a rodar como o usuário git, a conta de serviço sob a qual a aplicação do GitLab é executada [1]. [Uma prova de conceito pública](https://x.com/_CryptoCat/status/2110052018593362428) transforma 248 caracteres em mais de 2 GB de código do motor e chega à função system() [4]. A GitLab classifica o bug como totalmente não autenticado. Na reprodução da Rapid7, ainda era necessário plantar antes esse arquivo de configuração — barreira que desaparece em qualquer instância em que qualquer pessoa possa se registrar e abrir um projeto público [1].

## Servidores autogerenciados guardam código-fonte e credenciais de nuvem

O que está por trás desses servidores explica por que uma falha 10.0 como essa atrai atacantes com rapidez: o código-fonte de uma organização, seus pipelines de compilação e [as credenciais que esses pipelines usam para acessar contas de nuvem](https://theinference.org/article/two-dozen-firms-breached-through-gitlab-stored-secrets-and-gitlab-shipped-the-cure-a-day-later), nas palavras de Roman Y. Sannikov, coordenador global de pesquisas da iCounter [5]. A GitLab conta com mais da metade das empresas da Fortune 100 entre seus clientes [3].

É a segunda falha de gravidade máxima da GitLab em dois meses. O bug de travessia de diretórios (path traversal) de setembro, a CVE-2026-85706, entrou no catálogo de vulnerabilidades em exploração mantido pela CISA, a agência americana de cibersegurança, um dia depois de a GitLab liberar o patch, e pesquisadores da watchTowr já registravam sondagens [3][6]. “As equipes devem assumir que a janela entre a divulgação e a exploração é de dias, não de semanas”, disse Sannikov [5]. Até 13 de outubro, não havia exploração confirmada da nova falha [1].

## Detecção no mesmo dia é a estreia da nova unidade em produto

O que faz disso uma história de negócios é o timing. A Rapid7 Intelligence, unidade [lançada em 2 de outubro](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html) para levar pesquisa de vulnerabilidades direto a produtos pagos, embarcou, na atualização de conteúdo de 13 de outubro, uma verificação de detecção autenticada desta falha em seus produtos Exposure Command, Vulnerability Management e Nexpose [1][7]. Para clientes pagantes, o discurso de lançamento se traduz em código funcionando: pesquisa que chega ao produto em até um dia depois de a falha se tornar pública.

A matriz listada na Nasdaq precisa da demonstração. [A receita caiu 1,5% na comparação anual no trimestre encerrado em junho](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327) — o segundo recuo consecutivo —, e o JPMorgan rebaixou a ação para underweight em setembro, com preço-alvo de US$ 12 [8][9]. [A divulgação dos resultados do terceiro trimestre está marcada para 4 de novembro](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526) [8].

*Chart: **Crescimento da Rapid7 desliza de 13% para dois trimestres seguidos de queda** Gráfico de linha com o crescimento da receita da Rapid7 na comparação anual ao longo de doze trimestres, de 13,1% no 3T23 a -1,5% no 2T26, entrando no campo negativo em 2026.*

*Crescimento da receita na comparação anual, por trimestre civil, conforme os registros da Rapid7 na SEC. O 2T26 terminou em junho de 2026. [9]*

## GitLab cresce 21% enquanto Rapid7 encolhe

A GitLab (Nasdaq: GTLB) cresce e se expõe ao mesmo tempo: [a receita subiu 21,3%, para US$ 286,3 milhões, no trimestre encerrado em julho](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482), com prejuízo líquido de US$ 36,8 milhões [10]. O GitLab.com já recebeu o patch, e os clientes do Dedicated — sua oferta hospedada de locatário único — não precisam fazer nada. O dano direto, portanto, recai sobre os servidores dos clientes, não sobre o balanço do fornecedor [1].

*Chart: **Receita da GitLab cresce mais de 20% nos doze trimestres do gráfico** Gráfico de colunas da receita trimestral da GitLab, que sobe de US$ 150 milhões no trimestre encerrado em outubro de 2023 para US$ 286 milhões no trimestre encerrado em julho de 2026, com crescimento na comparação anual acima de 20% em todo o período.*

*Receita trimestral, em US$ milhões, por trimestre civil. Os trimestres fiscais da GitLab terminam um mês depois dos da Rapid7: o 2T26 da empresa encerrou em 31 de julho de 2026, o trimestre citado no texto, de US$ 286,3 milhões, alta de 21,3%. Fonte: registros da GitLab na SEC. [11]*

## Atualize agora e fique de olho em duas datas

As versões-alvo do patch são específicas: 19.2.8, 19.3.5 e 19.4.2, para instalar agora, e não no próximo ciclo mensal [1]. Se a atualização tiver de esperar, a GitLab recomenda restringir o acesso anônimo a projetos públicos e impedir que usuários não confiáveis criem esses projetos [1]. Para qualquer instância que tenha ficado sem o patch durante a janela de divulgação, o conselho de Sannikov é rotacionar segredos e tokens de CI/CD e revisar a atividade de runners e pipelines desde a divulgação [5].

Dois marcos vão dizer como essa história termina. O primeiro é saber se a CVE-2026-97229 segue a falha de setembro rumo ao catálogo da CISA [3][6]. O outro é 4 de novembro, quando a Rapid7 divulga os resultados do terceiro trimestre e terá de dizer se a unidade Intelligence já aparece na adoção dos produtos pagos [8]. Até lá, a exposição fica com quem opera uma instância autogerenciada esquecida.

## Takeaway

A falha de expressão regular nota 10.0 no GitLab já tem correção, mas os servidores autogerenciados sem o patch seguem expostos — e a detecção entregue no mesmo dia pela Rapid7 é a primeira prova funcional da unidade lançada em 2 de outubro.

## Sources

1. [Rapid7, CVE-2026-97229: Critical Unauthenticated Remote Code Execution in GitLab, 13 October 2026](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/)
2. [eSecurity Planet, GitLab Warns of CVSS 10.0 Flaw That Could Allow Server Takeover, 13 October 2026](https://www.esecurityplanet.com/news/news-gitlab-critical-server-takeover-flaw/)
3. [BleepingComputer, GitLab warns of max severity code execution vulnerability, 12 October 2026](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/)
4. [@_CryptoCat on X, Rapid7 PoC for CVE-2026-97229, 13 October 2026](https://x.com/_CryptoCat/status/2110052018593362428)
5. [SC Media, GitLab patches 10.0 flaw in its CE and EE products, 14 October 2026](https://www.scworld.com/news/gitlab-patches-10-0-flaw-in-its-ce-and-ee-products)
6. [TechRadar via MSN, CISA warns hackers are exploiting this max severity GitLab flaw, 14 September 2026](https://www.msn.com/en-us/technology/cybersecurity/cisa-warns-hackers-are-exploiting-this-max-severity-gitlab-flaw/ar-AA2ccpv4)
7. [Rapid7 press release via Yahoo Finance, Rapid7 Launches Rapid7 Intelligence to Harness Threat Data Against Attackers, 2 October 2026](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html)
8. [GlobeNewswire via MarketScreener, Rapid7 to Report Third Quarter 2026 Financial Results on November 4, 14 October 2026 (page also carries the 15 September JPMorgan underweight call, $12 target)](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526)
9. [Rapid7, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327)
10. [GitLab, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)
11. [GitLab, quarterly figures from its SEC filings, retrieved 16 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482)


---

Rapid7 transforma falha 10.0 do GitLab em demonstração real de produto, a três semanas dos resultados — The Inference. Canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/pt