GitLab CVE-2026-97229: первая октябрьская ошибка в CI, не вторая

Эту ошибку путают со следующей, потому что обе про регулярные выражения и обе с оценкой 10. CVE-2026-97229 закрыта 12 октября в 19.4.2, 19.3.5 и 19.2.8. Затронуты ветки 19.2, 19.3 и 19.4 до этих сборок. Более старые линии, которых не было в затронутом диапазоне, этим конкретным бюллетенем не накрыты. Это не значит, что старый GitLab «безопасен»: девять дней спустя вышла вторая критическая ошибка с гораздо более широким списком версий.

Простыми словами

В конфигурации CI можно передать выражение, которое компилятор GitLab разбирает с ошибкой переполнения. Человеку снаружи не нужна учётка. Если ваш инстанс доступен из интернета и стоит на 19.2-19.4 без патча от 12 октября, окно было открыто. Если вы уже на 19.2.8, от этой ошибки вы закрылись и остались открытыми для CVE-2026-110264 до 19.2.9.

Практический вывод скучный, и поэтому его пропускают. Смотрите точный номер сборки. «У нас девятнадцатая» не отвечает ни на один из двух бюллетеней. И не храните в переменных CI то, без чего прод не поднять, если инстанс смотрит в интернет: патч уменьшает вероятность, он не делает секреты в CI хорошей идеей.