GitLab 29 октября убрал eMudhra. Runner и образы CI остались при своём

Октябрь у GitLab получился из трёх разных событий, и третье путают с первыми двумя. 12 октября закрыли CVE-2026-97229, 21 октября - CVE-2026-110264. Обе про регулярные выражения и обе с оценкой 10. 29 октября вышли ещё сборки, и они не про новую дыру в компиляторе. Они выкидывают из доверия те же восемь промежуточных сертификатов eMudhra, о которых отдельная заметка. Номера: 18.11.14, 19.0.11, 19.1.10, 19.2.10, 19.3.7, 19.4.5, 19.5.3. Runner - 19.5.1, плюс сборки AI Gateway.

Ловушка бытовая. Админ обновил сам GitLab и считает тему сертификатов закрытой. Runner, который крутит пайплайны, и образ, в котором стоит ca-certificates полугодовой давности, продолжают верить отозванным центрам. Подмена собеседника на пути возможна для job, который ходит за зависимостями, а не для браузера сотрудника. WordPress 7.1.4 и Go 1.27.3 закрывают свои списки отдельно. Один apt upgrade на хосте все три не заменяет.

Если инстанс до сих пор ниже патчей от 21 октября, сертификатный релиз 29-го не первая задача. Сначала CVE-2026-110264, потом список доверия. Иначе вы аккуратно перестанете верить слабому центру на сервере, который всё ещё выполняет чужой код.