GitLab zakrpio kritičnu RCE ranjivost u izdanjima od 2014.
Kritična zakrpa za samostalno upravljani GitLab
GitLab je 21. oktobra objavio zakrpe za CVE-2026-110264, ranjivost sa maksimalnom ocenom CVSS 10.0 koja pod određenim uslovima neautentifikovanom korisniku može omogućiti izvršavanje proizvoljnog koda na serveru. Problem pogađa samostalno upravljane instalacije u svim granama, počev od verzije 7.0 iz 2014. godine.
Kompanija je objavila ispravke u sedam verzija: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 i 18.11.13. Za instalacije na verzijama od 7.0 do 18.11 potrebno je dostići najmanje 18.11.13, dok se ostale instance ažuriraju na odgovarajuću zakrpljenu verziju svoje grane.
GitLab.com već koristi ispravljenu verziju. GitLab Dedicated zakupci na internim izdanjima 19.3.5-internal0 i 19.4.2-internal0 ili novijim takođe već imaju ugrađenu zaštitu. Akcija je zato prvenstveno potrebna administratorima samostalno upravljanih okruženja.
Greška u Onigmo kompajleru regularnih izraza
Ranjivost nastaje zbog prekoračenja celog broja tokom kompajliranja posebno oblikovanog regularnog izraza. Kompajler je deo Onigmo mehanizma ugrađenog u Ruby, a GitLab ga isporučuje i održava u sopstvenim paketima. Upravo prisustvo tog mehanizma u svim izdanjima objašnjava zašto je opseg problema toliko širok.
GitLab nije objavio uslove neophodne da bi napadač došao do ranjivog dela kompajlera. Zbog toga se administratori ne mogu pouzdano osloniti na konfiguraciju kao meru isključenja rizika. Savetovanje ne nudi privremeno zaobilazno rešenje, pa je ažuriranje jedina sigurna zaštita.
Do 22. oktobra kompanija nije prijavila dokaze da je propust iskorišćen u napadima, a CVE-2026-110264 nije bio u katalogu poznatih iskorišćenih ranjivosti američke agencije CISA. To nije razlog za odlaganje, naročito zbog mogućeg izvršavanja koda bez prijave na sistem.
Nadogradnja i provera tragova napada
GitLab je objavio i dva pravila za otkrivanje pokušaja zloupotrebe u okviru otvorenog TLDR okvira: Onigmo native worker crash i Org mode render error burst. Pravila su u Sigma formatu i namenjena su pretrazi GitLab aplikacionih logova.
Nadogradnju treba planirati i operativno. Izdavanja 19.4.3 i 19.3.6 sadrže promene baze podataka, pa na serveru sa jednim čvorom mogu izazvati zastoj dok se promene ne dovrše. GitLab navodi da višičvorne postavke mogu primeniti zakrpu bez prekida rada kroz proceduru za nadogradnju bez zastoja.
Oktobarsko izdanje otklanja ukupno 11 bezbednosnih problema. Među ostalima su CVE-2026-15723, koji u kombinaciji SAML i LDAP automatskog povezivanja naloga može omogućiti prijavljenom korisniku preuzimanje drugog naloga, i CVE-2026-112212, propust trovanja keša u OAuth i OpenID Connect krajnjim tačkama.
Za poslovanje je najpraktičniji sledeći korak da se odmah popišu sve samostalno upravljane GitLab instance, utvrdi njihova grana izdanja, zakaže nadogradnja na odgovarajuću zakrpljenu verziju i pregledaju aplikacioni logovi pomoću objavljenih pravila za detekciju.