Cảnh báo lỗ hổng CVE-2026-97229: RCE nghiêm trọng trên GitLab

• Mối đe dọa: Lỗ hổng Integer Overflow trong GitLab cho phép thực thi mã từ xa (RCE) mà không cần xác thực.
• Mã CVE: CVE-2026-97229 (CVSS 10.0) và CVE-2026-110264.
• Hành động: Quản trị viên cần rà soát phiên bản và cập nhật ngay lập tức theo hướng dẫn từ nhà cung cấp.
• Tuân thủ: Thực hiện triage pháp y theo chỉ thị BOD 26-04 của CISA.

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa đưa ra cảnh báo khẩn cấp về việc các tác nhân đe dọa đang tích cực khai thác lỗ hổng CVE-2026-97229 trên các máy chủ GitLab. Lỗ hổng này cho phép kẻ tấn công thực thi mã tùy ý (Remote Code Execution - RCE) mà không cần thông qua bất kỳ bước xác thực nào, tạo ra rủi ro an ninh cực kỳ nghiêm trọng cho các tổ chức sử dụng GitLab Community Edition và Enterprise Edition.

Phân tích kỹ thuật về lỗ hổng CVE-2026-97229

Lỗ hổng này xuất phát từ cơ chế Integer Overflow (tràn số nguyên) hoặc wraparound, xảy ra do việc kiểm tra không đầy đủ các biểu thức chính quy (regular expressions) bên trong cấu hình CI/CD. Trong kiến trúc của GitLab, các cấu hình này được sử dụng để định nghĩa các tác vụ phát triển tự động. Khi một biểu thức được thiết kế đặc biệt được gửi đến trình biên dịch regular expression của GitLab thông qua cấu hình CI/CD, nó có thể dẫn đến lỗi bộ nhớ và cho phép kẻ tấn công chiếm quyền điều khiển máy chủ.

Theo phân tích từ các nhà nghiên cứu bảo mật, việc xử lý các mẫu (pattern) độc hại không chỉ gây lỗi cho các tác vụ pipeline mà còn ảnh hưởng trực tiếp đến tính toàn vẹn của máy chủ lưu trữ. Dưới đây là bảng tổng hợp các thông tin kỹ thuật cốt lõi:

Cơ chế khai thác và rủi ro

Một lỗi Integer Overflow xảy ra khi một phép tính tạo ra giá trị vượt quá phạm vi lưu trữ của kiểu dữ liệu trong chương trình. Kết quả là giá trị có thể trở nên cực kỳ nhỏ hoặc mang giá trị âm, dẫn đến các hành vi không mong muốn như hỏng bộ nhớ (memory corruption) hoặc thực thi mã trái phép. Kẻ tấn công lợi dụng điểm yếu này để vượt qua các rào cản bảo mật, từ đó thực thi các lệnh hệ thống với đặc quyền của người dùng chạy dịch vụ GitLab.

⚠️ Cảnh báo quan trọng: Việc cập nhật bản vá cho CVE-2026-97229 không đồng nghĩa với việc hệ thống đã an toàn trước CVE-2026-110264. Quản trị viên cần kiểm tra và áp dụng các bản vá riêng biệt cho từng lỗ hổng để đảm bảo không để lại các đường dẫn khai thác RCE khác.

Hướng dẫn phòng thủ và khắc phục

CISA đã yêu cầu các cơ quan liên bang và khuyến nghị các tổ chức tư nhân ưu tiên thực hiện các biện pháp giảm thiểu rủi ro dựa trên đánh giá thực tế. Các phiên bản bị ảnh hưởng bao gồm: GitLab 19.2 (trước 19.2.8), 19.3 (trước 19.3.4) và 19.4 (trước 19.4.2). Các bản vá đã được phát hành từ ngày 12 tháng 10 năm 2026.

• Kiểm tra phiên bản: Quản trị viên cần thực hiện lệnh kiểm tra phiên bản GitLab hiện tại để xác định trạng thái cập nhật.
• Áp dụng bản vá: Cập nhật lên phiên bản mới nhất được nhà cung cấp khuyến nghị để đóng lỗ hổng CVE-2026-97229.
• Triage pháp y: Theo chỉ thị BOD 26-04, các tổ chức cần thực hiện kiểm tra dấu vết xâm nhập (forensic triage) trên các hệ thống đã bị phơi nhiễm trước khi áp dụng bản vá để đảm bảo không có sự hiện diện của các backdoor hoặc mã độc đã được cài đặt trước đó.

Để biết thêm thông tin chi tiết về các tiêu chuẩn bảo mật và hướng dẫn cập nhật, các đội ngũ kỹ thuật có thể tham khảo tài liệu từ CISA Known Exploited Vulnerabilities Catalog. Việc duy trì quy trình vá lỗi dựa trên rủi ro là yếu tố then chốt để ngăn chặn các cuộc tấn công mạng nhắm vào hạ tầng CI/CD quan trọng.