GitLab закрыла уязвимость, затронувшую все версии с 2014 года
Изображение: OpenAI
GitLab 21 октября выпустила исправления CVE-2026-110264 с максимальной оценкой опасности 10 баллов CVSS. По данным компании, ошибка при определённых условиях позволяет выполнить произвольный код на сервере без авторизации.
Проблема затрагивает GitLab Community Edition (CE) и Enterprise Edition (EE) начиная с версии 7.0, выпущенной в 2014 году. Причина в переполнении целого числа при компиляции специально созданного регулярного выражения. GitLab не раскрыла необходимые для атаки условия и заявила, что не выявила признаков эксплуатации.
Для собственных установок CE и EE доступны семь исправленных версий:
- 19.5.1;
- 19.4.3;
- 19.3.6;
- 19.2.9;
- 19.1.9;
- 19.0.10;
- 18.11.13.
Это четвёртая уязвимость выполнения кода в компиляторе регулярных выражений GitLab, которую один и тот же исследователь нашёл за месяц. Как напоминает BleepingComputer, 12 октября компания уже исправила другую критическую ошибку в нём, CVE-2026-97229. Администраторам, установившим тот патч, нужно обновиться снова. В сентябре GitLab также закрыла CVE-2026-85706, позволявшую без авторизации читать учётные данные и другие секреты. Американское агентство CISA внесло её в каталог уязвимостей, используемых в атаках.
GitLab рекомендует установить исправления как можно скорее; временного обходного решения нет. При обновлении до 19.4.3 и 19.3.6 меняется база данных, поэтому на одноузловом сервере потребуется простой. В многоузловой конфигурации компания допускает обновление без простоя по своей процедуре.
