21 октября GitLab выпустила внеплановые обновления Community и Enterprise Edition. Они закрывают уязвимость CVE-2026-110264 с максимальной оценкой 10,0 по CVSS 3.1: при определённых условиях посторонний мог запустить свой код на сервере, не имея аккаунта и не дожидаясь действий пользователя.

Самое неприятное в истории возраст ошибки. Уязвимыми признаны версии начиная с GitLab 7.0, а она вышла ещё в 2014 году. То есть под угрозой почти любая самостоятельно развёрнутая инсталляция, если её не обновили на этой неделе.

Где именно ошибка

Проблема сидит не в самом GitLab, а в Onigmo, движке регулярных выражений, на котором Ruby ищет и разбирает текст. Если подсунуть шаблон с огромным числом повторений, внутренний счётчик переполняется и работа с памятью ломается. Патч просто запрещает компилировать такие шаблоны.

По правилам обнаружения, которые опубликовала GitLab, видно, что один из путей атаки проходит через отображение файлов в формате .org.

Какие версии обновлять

Затронуты все сборки до 18.11.13, а также ветки 19.0–19.5 до октябрьских патчей. Исправленные версии: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1. Для совсем старых установок отдельных патчей нет, придётся переезжать на поддерживаемую ветку.

GitLab.com уже обновлён. Важный нюанс: за девять дней до этого компания закрыла другую RCE с той же оценкой, CVE-2026-97229, тоже связанную с регулярками, но уже в CI/CD. Патчи от 12 октября от новой дыры не спасают.

Есть ли атаки

На 22 октября публичного рабочего эксплойта и подтверждённых атак нет, хотя команда «СайберОК» говорит, что проверила возможность эксплуатации. Если обновиться сразу нельзя, советуют временно закрыть сервер от внешней сети и смотреть логи на необычные падения Ruby и ошибки при обработке .org-файлов.

Наш комментарий

Если у вас или у заказчика свой GitLab, это повод обновиться сегодня, а не в следующий спринт. Своя инсталляция часто стоит «как есть» годами, и именно такие серверы попадают под удар первыми. Заодно стоит проверить, не торчит ли он в интернет без необходимости. Источник: SecurityLab.