Критическая уязвимость GitLab с максимальной оценкой CVSS 10.0 позволяет выполнить произвольный код на self-managed сервере без авторизации. Проблема затрагивает все ветки GitLab, начиная с версии 7.0, вышедшей в 2014 году: для российских компаний это повод не откладывать окно обновления, даже если инстанс уже патчили в середине октября.
GitLab выпустил исправления 21 октября, сообщает The Hacker News. Уязвимость получила идентификатор CVE-2026-110264. По данным разработчиков, при определённых условиях злоумышленник может добиться удалённого выполнения кода через целочисленное переполнение во время компиляции специально подготовленного регулярного выражения. Точные предусловия GitLab не раскрывает — а значит, администраторам не стоит строить защиту на предположении, что их конфигурация «наверняка не подходит» для атаки.
Исправление нужно установить на один из поддерживаемых релизов: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 или 18.11.13. Последний вариант предназначен для инсталляций с версиями от 7.0 до 18.11. GitLab отдельно сделал бэкпорты для четырёх старых веток — 18.11, 19.0, 19.1 и 19.2. Обычно компания поддерживает только текущий релиз и два предыдущих, поэтому такой набор патчей хорошо показывает серьёзность ситуации.
Есть неприятная деталь для тех, кто уже отчитался об обновлении. 12 октября GitLab закрыл другую критическую ошибку в том же компоненте — CVE-2026-97229 — в версиях 19.2.8, 19.3.5 и 19.4.2. Октябрьский патч был нужен, но не закрывает новую проблему: актуальные версии находятся ровно на один патч выше. Иными словами, инстанс, обновлённый девять дней назад, всё ещё может оставаться уязвимым.
Корень проблемы — встроенный движок регулярных выражений Onigmo, который используется в Ruby и поставляется GitLab в собственных пакетах. Ошибка присутствовала там, где GitLab распространял этот движок, поэтому охват получился почти археологическим: двенадцать лет релизов. Исследователь под псевдонимом joaxcar за месяц сообщил уже о четырёх уязвимостях выполнения кода, связанных с regex-компонентом GitLab. Три предыдущие были исправлены в сентябре и октябре и не уходили дальше ветки 19.2; нынешняя критическая уязвимость GitLab оказалась существенно шире.
GitLab заявляет, что не видит признаков эксплуатации CVE-2026-110264 в реальных атаках. На 22 октября ошибка также не числилась в каталоге известных эксплуатируемых уязвимостей CISA. Это не повод ждать первых компрометаций: публичный статус CVSS 10.0 и отсутствие авторизации обычно резко повышают интерес к багу со стороны атакующих. Временного обходного решения компания не предложила. Для поиска возможных попыток эксплуатации опубликованы два правила детектирования для журналов приложения в формате Sigma: «Onigmo native worker crash» и «Org mode render error burst».
Обновление касается только self-managed развёртываний. GitLab.com уже работает с исправлением, а клиенты GitLab Dedicated защищены, если используют внутренние сборки 19.3.5-internal0 или 19.4.2-internal0 и новее. При планировании работ стоит учесть, что релизы 19.4.3 и 19.3.6 содержат изменения базы данных: на одиночном сервере это означает простой на время миграции. Для многоузловых конфигураций GitLab описывает процедуру обновления без остановки сервиса.
Для DevOps-команд задача сейчас довольно прозаична: сверить версию, запланировать обновление, проверить журналы и не путать «патч поставлен 12 октября» с «риск закрыт». Эта критическая уязвимость GitLab вновь напоминает, что внутренний Git-сервер давно стал не вспомогательным инструментом, а частью производственной инфраструктуры с доступом к коду, CI/CD-пайплайнам и секретам. Чем дольше инстанс живёт на старой ветке, тем дороже становится не само обновление, а последствия одного удачного запроса.
