GitLab выпустила исправления для критической уязвимости, существовавшей двенадцать лет

brown wooden door in dark room — Roman Denisenko / Unsplash

Компания GitLab опубликовала обновления безопасности 21 октября, устраняющие критическую уязвимость, которая присутствовала в продукте с версии 7.0. Исправления распространяются на редакции Community Edition и Enterprise Edition, а также на несколько других веток разработки. Разработчик настоятельно рекомендует администраторам систем немедленно обновить свои установки, чтобы предотвратить потенциальные атаки.

Уязвимость получила идентификатор CVE-2026-110264 и максимальный уровень опасности 10 из 10 по шкале CVSS. Дефект находится в компиляторе регулярных выражений Onigmo. Переполнение целого числа, возникающее при обработке специально созданного файла Org-mode, может привести к выполнению вредоносного кода под системным учетной записью git. Это позволяет удаленному злоумышленнику выполнять код на уязвимом сервере без необходимости аутентификации.

Исправления доступны для семи конкретных версий: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1. Пользователи более старых версий, включая GitLab 18.10 и ранее, не могут просто установить патч, а обязаны переместить свои системы на поддерживаемые ветки, где доступны обновления. Администраторам необходимо провести инвентаризацию всех активных инстансов, включая те, что используются для исторических проектов или второстепенных сред разработки.

CERT-EU рекомендует приоритетно обновлять серверы, доступные из интернета, и проверять журналы событий на признаки компрометации. GitLab также предоставила два правила обнаружения для выявления попыток эксплуатации. Мониторинг сбоев рабочих процессов Onigmo и ошибок рендеринга Org-mode может дополнить эти меры безопасности. На данный момент отсутствуют подтверждения того, что уязвимость уже используется в активных кибератаках.

Компрометация сервера GitLab может затронуть не только хранилища кода, но и централизованные конвейеры CI/CD, токены доступа и секреты, используемые для автоматизации. Злоумышленник может попытаться изменить код, украсть учетные данные или получить доступ к другим компонентам информационной системы. Хостинговые сервисы компании, включая GitLab.com, уже получили необходимые исправления, тогда как организации, эксплуатирующие собственную инфраструктуру, должны самостоятельно выполнить обновление.

Эта инцидент следует за исправлением другой критической уязвимости CVE-2026-97229, выпущенным 12 октября. Она также имела оценку 10 из 10 и затрагивала компилятор регулярных выражений в конфигурациях CI/CD. Хотя обе уязвимости связаны с переполнением целого числа, они используют разные точки входа. Поэтому обновление от 12 октября не защищает от новой угрозы, и администраторам, уже установившим предыдущие патчи, необходимо проверить версии и применить обновления от 21 октября.