- Уязвимости CVE-2026-110264 присвоен максимальный балл CVSS — 10,0. При условиях, которые GitLab не раскрыл, злоумышленник без учётной записи может выполнить произвольный код на сервере с самостоятельной установкой GitLab. Причина — переполнение целого числа при компиляции специально подготовленного регулярного выражения.
Изображение носит иллюстративный характер
Уязвимость затрагивает все выпуски GitLab начиная с версии 7.0, вышедшей в 2014 году. Это примерно двенадцать лет релизов. Проблема находится в Onigmo — встроенном в Ruby движке регулярных выражений. GitLab включает Onigmo в собственные пакеты и выпускает сборки с его кодом, поэтому уязвимый компонент присутствовал во всех затронутых версиях.
GitLab сообщил, что не располагает данными об использовании CVE-2026-110264 в атаках. По состоянию на 22 октября уязвимость также не значилась в каталоге известных эксплуатируемых уязвимостей американского агентства CISA. Но точные условия, при которых можно добраться до уязвимого компилятора, компания не опубликовала. Администратор не сможет определить подверженность системы только по настройкам, а временного обходного решения GitLab не предложил. Надёжная защита — установить исправленную версию.
Патчи выпущены 21 октября для семи веток. Самостоятельно обслуживаемые установки необходимо обновить:
- []с версии 19.5 ниже 19.5.1 — до 19.5.1;
[]с версии 19.4 ниже 19.4.3 — до 19.4.3;
[]с версии 19.3 ниже 19.3.6 — до 19.3.6;
[]с версии 19.2 ниже 19.2.9 — до 19.2.9;
[]с версии 19.1 ниже 19.1.9 — до 19.1.9;
[]с версии 19.0 ниже 19.0.10 — до 19.0.10;
[]с версий от 7.0 до 18.11, если установлена версия ниже 18.11.13, — до 18.11.13.
Обычно GitLab выпускает исправления для текущей версии и двух предыдущих ежемесячных релизов — на тот момент это были 19.5, 19.4 и 19.3. Для этой уязвимости компания сделала исключение и перенесла патч на более старые ветки: 18.11.13, 19.0.10, 19.1.9 и 19.2.9. GitLab пояснил, что резервирует такие обратные переносы для серьёзных проблем.
Для поиска возможных попыток эксплуатации администраторы самостоятельных установок могут использовать два правила обнаружения: «Onigmo native worker crash» и «Org mode render error burst». Они входят в открытый фреймворк GitLab TLDR, написаны в формате Sigma и анализируют журналы самого приложения.
CVE-2026-110264 стала четвёртой уязвимостью движка регулярных выражений GitLab с возможностью выполнения кода, о которой за месяц сообщил исследователь под псевдонимом joaxcar. Это первая из четырёх проблем, затронувшая версии старше 19.2. Ранее, 12 октября, была раскрыта CVE-2026-97229 с оценкой CVSS 10,0: она также позволяла атаковать без авторизации и была связана с переполнением при компиляции регулярного выражения. 23 сентября исследователь сообщил о CVE-2026-93577 и CVE-2026-89078; обе получили CVSS 9,9, но для их эксплуатации требовалась учётная запись.
Выпуск от 21 октября закрывает в общей сложности 11 уязвимостей. Помимо критической, в нём исправлены проблемы разной степени серьёзности. CVE-2026-15723 с оценкой CVSS 8,2 могла позволить авторизованному пользователю захватить чужую учётную запись, но только если администратор одновременно включил SAML и автоматическую привязку LDAP. CVE-2026-112212 получила CVSS 7,5: из-за отравления кэша в конечных точках OAuth и OpenID Connect в конфигурациях с общим кэшем злоумышленник мог перенаправить некоторые сценарии входа на контролируемый им сервер.
При обновлении стоит учитывать обслуживание базы данных. Версии 19.4.3 и 19.3.6 выполняют изменения базы во время установки. На односерверной системе это означает простой на время их выполнения. Многосерверные конфигурации можно обновить без простоя, если следовать процедуре GitLab для обновления с нулевым временем недоступности.
