GitLab исправил критическую RCE-уязвимость во всех версиях с 2014 года
GitLab устранил уязвимость CVE-2026-110264 с максимальной оценкой CVSS 10.0, которая при определённых условиях позволяет неаутентифицированному пользователю выполнить произвольный код на self-managed сервере. Проблема затрагивает все релизы, начиная с GitLab 7.0 2014 года, и исправлена сразу в семи версиях: от 18.11.13 до 19.5.1.
Ошибка в компиляторе регулярных выражений
Причиной стал целочисленный overflow при компиляции специально сформированного регулярного выражения. Уязвимый компонент — встроенный в Ruby движок регулярных выражений Onigmo. GitLab поставляет его в собственных пакетах и самостоятельно применяет изменения в своих сборках.
Именно поэтому охват проблемы оказался необычно широким: Onigmo присутствовал во всех поставках GitLab, начиная с версии 7.0. Компания не раскрыла, какие именно условия нужны атакующему для доступа к уязвимому пути. В advisory также нет временного способа защиты, поэтому надёжной мерой остаётся обновление.
GitLab сообщил, что не обнаружил признаков эксплуатации CVE-2026-110264. По состоянию на 22 октября уязвимость также отсутствовала в каталоге CISA Known Exploited Vulnerabilities.
Какие версии нужно установить
Пользователям ветки 19.5 следует перейти на 19.5.1, 19.4 — на 19.4.3, 19.3 — на 19.3.6, а 19.2 — на 19.2.9. Для веток 19.1 и 19.0 выпущены версии 19.1.9 и 19.0.10 соответственно. Все инсталляции с GitLab 7.0–18.11 должны обновиться как минимум до 18.11.13.
Четыре из этих выпусков находятся за пределами обычной политики поддержки GitLab: компания, как правило, обновляет текущий релиз и две предыдущие ежемесячные ветки. Бэкпорты для 18.11.13, 19.0.10, 19.1.9 и 19.2.9 были подготовлены из-за тяжести проблемы.
Администраторам, которые установили обновления от 12 октября, также нужно проверить версию. Тогда GitLab закрыл CVE-2026-97229 — другую неаутентифицированную RCE с CVSS 10.0 в компиляторе регулярных выражений, однако исправление охватывало только версии 19.2 и новее. Новый патч находится на один уровень выше тех выпусков.
Влияние на развёртывания и контроль попыток атак
GitLab.com уже работает с исправленной версией. Для GitLab Dedicated патч уже включён во внутренние релизы 19.3.5-internal0 и 19.4.2-internal0 либо более новые. Действия требуются владельцам самостоятельных установок.
Для поиска попыток эксплуатации GitLab опубликовал в открытом фреймворке TLDR два правила Sigma для логов приложения: Onigmo native worker crash и Org mode render error burst. Эти правила помогают анализировать журналы, но не заменяют установку обновления.
Релизы 19.4.3 и 19.3.6 включают изменения базы данных. На односерверной установке это означает простой на время их применения; для многоузловых конфигураций GitLab предлагает процедуру обновления без простоя. Практический вывод для бизнеса: необходимо безотлагательно сопоставить используемую ветку с исправленной версией, запланировать окно работ с учётом схемы развёртывания и проверить логи по опубликованным правилам.