← Все новости

Безопасность ·

GitLab: критический патч закрывает RCE без аутентификации с CVSS 10.0GitLab critical patch fixes an unauthenticated RCE rated CVSS 10.0

CVE-2026-110264 — переполнение целого в компиляторе регулярных выражений позволяет неаутентифицированному пользователю выполнить код на сервере через специально составленную регулярку. Затронуты все версии с 7.0; self-managed инсталляции нужно обновить немедленно.CVE-2026-110264 is an integer overflow in the regex compiler that lets an unauthenticated user run code on the server via a crafted regular expression. Every version since 7.0 is affected; self-managed instances must be updated now.

21 октября GitLab выпустил критический патч-релиз. Главная уязвимость — CVE-2026-110264 с максимальной оценкой CVSS 10.0: переполнение целого в компиляторе регулярных выражений. Неаутентифицированный пользователь может отправить специально составленную регулярку и выполнить код на сервере. Затронуты все версии начиная с 7.0.

Исправленные версии

19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13.

Всего релиз закрывает 12 CVE, среди них ещё две высокие: CVE-2026-15723 (8.2, автопривязка OmniAuth к LDAP) и CVE-2026-112212 (7.5, отравление кэша OAuth/OIDC discovery). Уязвимость нашёл исследователь joaxcar через HackerOne.

Кого касается

  • GitLab.com уже обновлён.
  • Dedicated-инстансы на 19.3.5-internal0 / 19.4.2-internal0 и новее действий не требуют.
  • Self-managed — обновляться немедленно.

Что делать

Обновиться до исправленной версии своей ветки. Релиз включает миграции БД, поэтому однонодовые инсталляции будут недоступны во время обновления — запланируйте окно. GitLab также опубликовал два правила обнаружения для self-managed: «Onigmo native worker crash» и «Org mode render error burst» — проверьте по ним логи за последние дни. Данных об эксплуатации в дикой природе пока нет.

On Oct 21 GitLab shipped a critical patch release. The headline flaw is CVE-2026-110264, rated the maximum CVSS 10.0: an integer overflow in the regex compiler. An unauthenticated user can submit a crafted regular expression and execute code on the server. Every version since 7.0 is affected.

Fixed versions

19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 and 18.11.13.

The release fixes 12 CVEs in total, including two more high-severity ones: CVE-2026-15723 (8.2, OmniAuth-to-LDAP auto-linking) and CVE-2026-112212 (7.5, OAuth/OIDC discovery cache poisoning). The flaw was reported by researcher joaxcar via HackerOne.

Who is affected

  • GitLab.com is already patched.
  • Dedicated instances on 19.3.5-internal0 / 19.4.2-internal0 or later need no action.
  • Self-managed — update immediately.

What to do

Upgrade to the fixed release in your branch. It includes database migrations, so single-node instances will be down during the upgrade — plan a window. GitLab also published two detection rules for self-managed instances, “Onigmo native worker crash” and “Org mode render error burst” — check recent logs against them. There is no report of in-the-wild exploitation yet.

Источники