Ngày 29/10/2026, cơ quan an ninh mạng Mỹ CISA đã đưa CVE-2026-97229 — lỗ hổng nghiêm trọng trong GitLab Community và Enterprise Edition tự vận hành — vào danh mục lỗ hổng đang bị khai thác (KEV), phiên bản danh mục 2026.10.29. Theo dữ liệu KEV do hol.org dẫn lại, các cơ quan liên bang Mỹ phải khắc phục trước 01/11/2026; việc bị ransomware sử dụng hiện được ghi là chưa rõ.
Đây là lỗi tràn số nguyên trong bộ biên dịch biểu thức chính quy (regex) mà GitLab CI/CD sử dụng, điểm CVSS 10.0. Nguyên nhân gốc nằm ở Onigmo, bộ regex tích hợp trong Ruby. GitLab đã vá ngày 12/10 ở các bản 19.2.8, 19.3.5 và 19.4.2; GitLab.com đã được vá, khách hàng GitLab Dedicated không cần làm gì. Rapid7 — đơn vị công bố mã khai thác mẫu (PoC) ngày 13/10 — cho biết kẻ tấn công cần đẩy được file .gitlab-ci.yml độc hại lên một dự án công khai, khi đó mã sẽ chạy dưới quyền tài khoản git của GitLab. Nếu máy chủ cho phép ai cũng đăng ký và tạo dự án thì điều kiện này gần như không còn.
Một vụ tấn công thực tế: Alpine Linux cho biết ngày 20–21/10, một tài khoản mới đăng ký đã gửi các cấu hình CI được chế tạo sẵn tới máy chủ GitLab của họ, làm tiến trình worker bị sập 8 lần. Alpine đã nâng cấp nhầm lên 19.3.4 thay vì 19.3.5, và image 19.3.6 sau đó vẫn dùng Ruby tiêu chuẩn chưa vá. Alpine không thấy bằng chứng tấn công thành công nhưng không thể loại trừ, nên đã dựng lại máy chủ, đặt lại toàn bộ mật khẩu và thay khoá bí mật của GitLab. Alpine khẳng định các bản phát hành và gói phần mềm không bị can thiệp.
Vì sao chỉ nâng cấp GitLab có thể chưa đủ: GitLab chỉ áp bản vá Ruby trong gói và image chính thức. Bản cài từ mã nguồn, gói của bản phân phối Linux hoặc image bên thứ ba dùng Ruby riêng cũng cần Ruby 3.3.13, 3.4.12 hoặc 4.0.9 trở lên. Theo hol.org, Ruby 3.2 đã hết hỗ trợ và không có bản vá.
Thông tin công khai về các vụ tấn công khác còn ít; CISA không cho biết ai đang khai thác hay quy mô ra sao.
