--- title: "Rapid7 превратила уязвимость GitLab с оценкой 10,0 в демонстрацию продукта в действии — за три недели до отчетности" description: "Регулярное выражение из 248 символов позволяет выполнять команды на непатченых самостоятельно размещаемых серверах GitLab. Rapid7 воспроизвела эксплойт через день после патча GitLab от 12 октября и в тот же день поставила платным клиентам средства обнаружения — похоже, это первое публичное применение подразделения Rapid7 Intelligence, запущенного 2 октября." publisher: "The Inference" section: "Safety" published: 2026-10-16T01:38:40.867Z modified: 2026-10-16T01:38:40.867Z canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/ru language: ru keywords: "Cybersecurity, Vulnerabilities, GitLab, Rapid7, Earnings" --- # Rapid7 превратила уязвимость GitLab с оценкой 10,0 в демонстрацию продукта в действии — за три недели до отчетности > Регулярное выражение из 248 символов позволяет выполнять команды на непатченых самостоятельно размещаемых серверах GitLab. Rapid7 воспроизвела эксплойт через день после патча GitLab от 12 октября и в тот же день поставила платным клиентам средства обнаружения — похоже, это первое публичное применение подразделения Rapid7 Intelligence, запущенного 2 октября. ## Регулярное выражение, просочившееся мимо фильтров 12 октября [GitLab](https://theinference.org/markets/companies/gitlab) [выпустила внеплановый патч](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/) — обновление безопасности вне обычного месячного графика — для уязвимости CVE-2026-97229, целочисленного переполнения, которому компания присвоила оценку 10,0, максимальную по шкале критичности CVSS [1][2]. Дефект находится в компиляторе регулярных выражений в конфигурациях CI/CD — конвейерах, которые собирают и развертывают программное обеспечение, — во всех самостоятельно размещаемых редакциях Community и Enterprise. В тот день были закрыты 24 уязвимости; об этой GitLab узнала из отчета исследователя, действующего под ником joaxcar, в рамках программы bug bounty на HackerOne [2][3]. День спустя [Rapid7](https://theinference.org/markets/companies/rapid7) сообщила, что [воспроизвела всю цепочку на официальном непатченом образе Community Edition 19.4.1](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/) с включенной рандомизацией адресного пространства; на пропатченной версии 19.4.2 тот же ввод не срабатывал [1]. Путь атаки двухступенчатый: специально составленное регулярное выражение в файле конвейера .gitlab-ci.yml проходит валидацию GitLab, затем перекомпилируется по пути репозитория, содержащему символы UTF-8, — и здесь целочисленное переполнение в движке Onigmo языка Ruby отдает атакующему контроль над процессом. ## 24 часа от патча до работающего эксплойта Команды операционной системы затем выполняются от имени пользователя git — сервисной учетной записи, под которой работает приложение GitLab [1]. [Публичный proof-of-concept](https://x.com/_CryptoCat/status/2110052018593362428) превращает 248 символов более чем в 2 Гбайт кода движка и добирается до вызова system() [4]. По оценке GitLab, для эксплуатации бага аутентификация вовсе не требуется; в воспроизведении Rapid7, впрочем, все еще нужно было сначала подложить этот конфигурационный файл — барьер, который исчезает там, где инстанс разрешает любому зарегистрироваться и открыть публичный проект [1]. ## На самостоятельно размещаемых серверах — исходный код и облачные учетные данные Именно то, что стоит за этими серверами, объясняет, почему оценка 10,0 в данном случае так быстро притягивает атакующих: исходный код организации, ее конвейеры сборки и [учетные данные, с помощью которых эти конвейеры получают доступ к облачным аккаунтам](https://theinference.org/article/two-dozen-firms-breached-through-gitlab-stored-secrets-and-gitlab-shipped-the-cure-a-day-later), — по словам координатора глобальных исследований iCounter Романа Ю. Санникова [5]. Среди клиентов GitLab — более половины корпораций из списка Fortune 100 [3]. Это уже вторая уязвимость максимальной критичности у GitLab за два месяца. Сентябрьский баг обхода пути (path traversal) CVE-2026-85706 попал в ведущийся американским агентством по кибербезопасности CISA каталог эксплуатируемых уязвимостей через день после того, как GitLab выпустила патч, а исследователи watchTowr уже фиксировали попытки зондирования [3][6]. «Командам следует исходить из того, что окно между раскрытием уязвимости и ее эксплуатацией измеряется днями, а не неделями», — отметил г-н Санников [5]. По состоянию на 13 октября фактов эксплуатации новой уязвимости не подтверждено [1]. ## Детекция в день патча — дебют нового подразделения в продуктах Бизнес-история здесь — в тайминге. Подразделение Rapid7 Intelligence, [запущенное 2 октября](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html) ради прямой передачи исследований уязвимостей в платные продукты, включило аутентифицированную проверку обнаружения этой уязвимости в продукты Exposure Command, Vulnerability Management и Nexpose в составе контент-обновления, выпущенного в тот же день, 13 октября [1][7]. Для платных клиентов это обещание, данное при запуске, — уже в виде работающего кода: результаты исследования добираются до продукта менее чем за сутки после публикации уязвимости. Больше всех в такой демонстрации нуждается сама материнская компания, торгующаяся на Nasdaq. [Выручка в квартале, завершившемся в июне, снизилась на 1,5% в годовом выражении](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327) — это уже второй квартал падения подряд, а в сентябре JPMorgan понизил рейтинг акций до «ниже рынка» (underweight) с целевой ценой $12 [8][9]. [Отчетность за третий квартал будет представлена 4 ноября](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526) [8]. *Chart: **Рост Rapid7 упал с 13% до двух кварталов снижения подряд** Линейный график годового роста выручки Rapid7 за двенадцать кварталов: от 13,1% в III квартале 2023 года до минус 1,5% во II квартале 2026 года; в 2026 году линия уходит ниже нуля.* *Рост выручки год к году по календарным кварталам, согласно отчетности Rapid7, подаваемой в SEC. II квартал 2026 года завершился в июне 2026-го. [9]* ## GitLab растет на 21%, пока Rapid7 сокращается GitLab (NASDAQ: GTLB) растет и при этом остается в зоне риска: [в квартале, завершившемся в июле, выручка выросла на 21,3% — до $286,3 млн](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482), при чистом убытке в $36,8 млн [10]. GitLab.com уже пропатчен, а клиентам Dedicated — однотенантного облака, размещаемого у самой компании, — ничего делать не нужно: прямой ущерб придется на серверы клиентов, а не на финансовые показатели вендора [1]. *Chart: **Выручка GitLab росла более чем на 20% во всех двенадцати кварталах на графике** Столбчатая диаграмма квартальной выручки GitLab: рост со $150 млн в квартале, завершившемся в октябре 2023 года, до $286 млн в квартале, завершившемся в июле 2026 года; рост год к году весь период держится выше 20%.* *Квартальная выручка в млн долл. США; подписи — календарные кварталы. Финансовые кварталы GitLab заканчиваются на месяц позже, чем у Rapid7: II квартал 2026 года завершился 31 июля 2026-го — именно он упомянут в тексте с выручкой $286,3 млн и ростом на 21,3%. По отчетности GitLab, подаваемой в SEC. [11]* ## Обновиться сейчас — и следить за двумя датами Целевые версии патча конкретны: 19.2.8, 19.3.5 и 19.4.2 — установить их нужно сейчас, не дожидаясь ближайшего ежемесячного цикла обновлений [1]. Если с обновлением приходится повременить, GitLab рекомендует ограничить анонимный доступ к публичным проектам и запретить их создание недоверенными пользователями [1]. Там, где инстанс оставался непатченым все время после раскрытия уязвимости, г-н Санников советует сменить секреты и токены CI/CD и проверить активность раннеров и конвейеров с момента публикации данных об уязвимости [5]. Чем все закончится, покажут два маркера. Первый — последует ли CVE-2026-97229 вслед за сентябрьской «сестрой» в каталог CISA [3][6]. Второй — 4 ноября: Rapid7 представит результаты III квартала и должна будет ответить, отражается ли работа подразделения Intelligence во внедрении платных продуктов [8]. До тех пор риск остается на тех, у кого до сих пор работает забытый самостоятельно размещаемый инстанс. ## Takeaway Уязвимость регулярных выражений в GitLab с оценкой 10,0 закрыта патчем, но на непатченых самостоятельно размещаемых серверах риск сохраняется; обнаружение от Rapid7, доставленное клиентам в тот же день, — первое работающее доказательство возможностей подразделения, запущенного 2 октября. ## Sources 1. [Rapid7, CVE-2026-97229: Critical Unauthenticated Remote Code Execution in GitLab, 13 October 2026](https://www.rapid7.com/blog/post/etr-cve-2026-97229-critical-unauthenticated-remote-code-execution-in-gitlab/) 2. [eSecurity Planet, GitLab Warns of CVSS 10.0 Flaw That Could Allow Server Takeover, 13 October 2026](https://www.esecurityplanet.com/news/news-gitlab-critical-server-takeover-flaw/) 3. [BleepingComputer, GitLab warns of max severity code execution vulnerability, 12 October 2026](https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/) 4. [@_CryptoCat on X, Rapid7 PoC for CVE-2026-97229, 13 October 2026](https://x.com/_CryptoCat/status/2110052018593362428) 5. [SC Media, GitLab patches 10.0 flaw in its CE and EE products, 14 October 2026](https://www.scworld.com/news/gitlab-patches-10-0-flaw-in-its-ce-and-ee-products) 6. [TechRadar via MSN, CISA warns hackers are exploiting this max severity GitLab flaw, 14 September 2026](https://www.msn.com/en-us/technology/cybersecurity/cisa-warns-hackers-are-exploiting-this-max-severity-gitlab-flaw/ar-AA2ccpv4) 7. [Rapid7 press release via Yahoo Finance, Rapid7 Launches Rapid7 Intelligence to Harness Threat Data Against Attackers, 2 October 2026](https://finance.yahoo.com/technology/ai/articles/rapid7-launches-rapid7-intelligence-harness-130000040.html) 8. [GlobeNewswire via MarketScreener, Rapid7 to Report Third Quarter 2026 Financial Results on November 4, 14 October 2026 (page also carries the 15 September JPMorgan underweight call, $12 target)](https://www.marketscreener.com/news/rapid7-to-report-third-quarter-2026-financial-results-on-november-4-ce785dd2d181f526) 9. [Rapid7, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001560327) 10. [GitLab, quarterly figures from its SEC filings, retrieved 15 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482) 11. [GitLab, quarterly figures from its SEC filings, retrieved 16 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001653482) --- Rapid7 превратила уязвимость GitLab с оценкой 10,0 в демонстрацию продукта в действии — за три недели до отчетности — The Inference. Canonical: https://theinference.org/article/rapid7-turns-gitlab-s-10-0-flaw-into-a-live-product-demo-three-weeks-before-earnings/ru