В GitLab обнаружили критическую уязвимость, которая затрагивает версии за 12 лет

21 октября 2026 года разработчики GitLab выпустили внеочередное обновление безопасности, устраняющее уязвимость CVE-2026-110264. Проблема связана с целочисленным переполнением при компиляции специально подготовленного регулярного выражения. При определенных условиях ошибка может привести к удаленному выполнению кода на сервере GitLab.

Опасность заключается в том, что злоумышленнику не требуется учетная запись. Вектор атаки доступен по сети, а взаимодействие с пользователем не требуется. По методике CVSS 3.1 уязвимость получила максимальную оценку 10.0. При успешной эксплуатации последствия могут затронуть конфиденциальность, целостность и доступность данных.

GitLab используется для хранения исходного кода, управления проектами и автоматизации сборки и развертывания программного обеспечения. Поэтому захват сервера потенциально опасен и для других систем организации. На нем могут находиться токены доступа, конфигурации CI/CD, учетные данные и сведения об инфраструктуре. Получив возможность выполнять код на сервере, атакующий может попытаться использовать эти ресурсы для дальнейшего проникновения.

Масштаб проблемы необычен. CVE-2026-110264 затрагивает все версии GitLab CE и EE начиная с 7.0, то есть программное обеспечение, выпускавшееся на протяжении более 12 лет. При этом разработчики пока не раскрыли конкретные условия, необходимые для эксплуатации ошибки.

Исправления включены в GitLab 19.5.1, 19.4.3 и 19.3.6. Дополнительно компания перенесла исправление в более ранние ветки: 19.2.9, 19.1.9, 19.0.10 и 18.11.13.

Для администраторов это означает, что обновить GitLab до любой произвольной версии 19.x недостаточно. Например, версии 19.5.0 и 19.4.2 остаются уязвимыми. Если сервер работает на ветке, для которой выпущен патч, необходимо установить соответствующую исправленную версию или более новую безопасную версию. Старые установки, для которых отдельного исправления нет, потребуют перехода на поддерживаемую ветку.

Отдельная неприятность для администраторов связана с предыдущими обновлениями безопасности. 12 октября GitLab уже устраняла другую критическую уязвимость, связанную с обработкой регулярных выражений. Однако установка того обновления не защищает от CVE-2026-110264. Даже серверам, недавно получившим исправления, требуется повторная проверка версии.

В официальном бюллетене безопасности GitLab разработчики рекомендуют незамедлительно обновить все уязвимые самостоятельно управляемые установки. Облачный сервис GitLab.com уже использует исправленную версию. Клиентам GitLab Dedicated с внутренними версиями 19.3.5-internal0 и 19.4.2-internal0 или новее дополнительных действий не требуется.

Компания также опубликовала два правила обнаружения возможных попыток эксплуатации. Первое связано со сбоями нативного обработчика Onigmo, второе с резким увеличением ошибок обработки Org mode. Эти признаки могут помочь администраторам при анализе журналов, однако их отсутствие само по себе не доказывает, что сервер не подвергался атаке.

По состоянию на 22 октября публичных подтверждений эксплуатации CVE-2026-110264 в реальных атаках не было. Это не снижает срочности обновления: уязвимость доступна удаленно, не требует авторизации и затрагивает значительное количество установок. Администраторам серверов GitLab, особенно доступных из интернета, имеет смысл проверить версию и журналы безопасности, даже если система обновлялась совсем недавно.