GitLabは10月12日、CEとEEの19.4.2、19.3.5、19.2.8を公開した。中心はCVE-2026-97229で、CI/CDの正規表現コンパイラにおける整数オーバーフローだ。特定の条件で、認証されていない利用者がCI/CD設定に細工した正規表現を置くと、検証不足からGitLabサーバー上で任意のコードを実行できる。CVSS 3.1は10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。影響は19.2の19.2.8未満、19.3の19.3.5未満、19.4の19.4.2未満。報告者はjoaxcarで、HackerOne経由だ。
GitLab.comはすでに修正版で動いている。GitLab Dedicatedの顧客は対応不要だ。自前でCEまたはEEを動かしている組織が対象で、GitLabは影響を受けるインストールを直ちに最新のパッチへ上げるよう求めている。omnibus、ソース、Helmなど、記載が無い形態はすべて対象になる。
同じリリースにはHighが複数ある。シンタックスハイライトのXSS、Developerロールによる保護ブランチ上の下流パイプライン実行、rawファイルのキャッシュ汚染からCIが細工された内容を実行し保護された環境変数へ到達し得る欠陥、転送済みプロジェクトでスケジュール済みパイプラインの権限が残る問題が含まれる。EEではGitLab Duo Agent Platformの会話コンテキストへ内容を注入し、他のユーザーの操作として意図しないコマンド実行へつなげ得るCVE-2026-96893（CVSS 7.3）も修正した。
自前のGitLabをCIの実行環境にしているチームは、19.2、19.3、19.4のどれかを使っているかを先に確認する。該当するなら、Runnerや設定の見直しより先にインスタンス自体をパッチする。Duo Agent Platformを有効にしているEEは、プロンプト注入の修正も含めて同じパッチが閉じる。