GitLab выпустил патчи для критической уязвимости CVE-2026-110264. Она получила максимальную оценку 10,0 балла по CVSS и позволяет удаленно выполнить произвольный код на сервере без аутентификации. Проблема затрагивает все self-managed версии GitLab, начиная с 7.0 из 2014 года.
Проблему обнаружили во встроенном движке Onigmo, который GitLab использует и самостоятельно патчит. Поскольку Onigmo применяется с версии 7.0, уязвимость распространяется на все релизы последних 12 лет.
CVE-2026-110264 связана с целочисленным переполнением в компиляторе регулярных выражений. При определенных условиях атакующий может передать специально подготовленное выражение и добиться выполнения произвольного кода на сервере. Разработчики пока не раскрывают точные условия для успешной эксплуатации.
Исправление вышло в версиях 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 для CE и EE. Последние четыре ветки уже не получают поддержку, но разработчики подготовили для них бэкпорты из-за серьезности бага.
Администраторам, которые обновлялись в октябре 2026 года после выхода предыдущего критического патча CVE-2026-97229, потребуется установить еще одно обновление. Обе уязвимости оценены в 10 баллов по CVSS. Тогда исправления получили только версии 19.2 и новее.
В сентябре 2026 года устранили еще одну 10-балльную уязвимость CVE-2026-85706 — обход пути в API репозитория, позволявшую неаутентифицированному пользователю читать произвольные файлы.
The Shadowserver Foundation предупреждает, что в сети доступны более 2700 инстансов GitLab Community Edition. Хотя сейчас нет признаков реальной эксплуатации CVE-2026-110264, неизвестно, сколько из этих инстансов уже получили обновления.
GitLab опубликовал два правила детектирования для поиска попыток эксплуатации: Onigmo native worker crash и Org mode render error burst. Они входят в опенсорсный фреймворк TLDR и анализируют логи GitLab для выявления подозрительной активности.
