GitLab закрыл уязвимость CVSS 10,0, позволявшую выполнить код без авторизации

Вышел патч для критической уязвимости CVE-2026-110264 в GitLab. Уязвимость получила максимальную оценку CVSS — 10,0 балла. При определённых условиях она позволяет выполнить код на сервере без авторизации, поэтому пользователям самостоятельно развёрнутых инсталляций рекомендуют срочно установить обновления.

Уязвимость связана с переполнением целого числа при компиляции специально созданного регулярного выражения. Она затрагивает движок Onigmo, который входит в поставляемые GitLab пакеты. Уязвимость присутствует во всех версиях GitLab начиная с 7.0, выпущенной в 2014 году. Исправления подготовили для семи веток: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13.

Обновиться нужно только тем, кто самостоятельно развёртывает GitLab: GitLab.com уже работает на исправленной версии. Пользователям GitLab Dedicated на версиях 19.3.5-internal0 и 19.4.2-internal0 или новее устанавливать исправление отдельно не требуется.

По состоянию на 22 октября GitLab не сообщала о признаках использования уязвимости в атаках. Также CVE-2026-110264 не числилась в каталоге известных эксплуатируемых уязвимостей CISA. Об уязвимости сообщил исследователь joaxcar. За месяц joaxcar сообщил уже о четырёх уязвимостях выполнения кода в движке регулярных выражений GitLab. При обновлении до GitLab 19.4.3 и 19.3.6 стоит учитывать, что эти выпуски включают миграции базы данных. На односерверных установках их выполнение может вызвать простой.

Если вы используете самостоятельно развёрнутую версию GitLab, готовы ли вы обновить её немедленно, несмотря на возможный простой?