7 версий GitLab получили исправление уязвимости удалённого запуска кода

Проблеме присвоили идентификатор CVE-2026-110264. Её обнаружил исследователь под ником joaxcar в рамках программы Bug Bounty на HackerOne. Ошибка находится в компиляторе регулярных выражений GitLab, который обрабатывает и проверяет такие выражения в файлах конфигурации. По данным компании, при определённых условиях атакующему не требовалась авторизация.

Исправления вошли в версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. GitLab рекомендует как можно скорее обновить все установки на затронутых версиях. GitLab.com уже работает на исправленной версии. Клиентам GitLab Dedicated на версиях 19.3.5-internal0 и 19.4.2-internal0 или новее устанавливать патч отдельно не нужно.

Сервис Shadowserver отслеживает в интернете более 2700 доступных извне экземпляров GitLab CE. В его данных не указано, сколько из них — ловушки-приманки или уже защищённые системы, поэтому это число не показывает, сколько серверов действительно уязвимы.

Десятью днями ранее GitLab предупредила о другой критической уязвимости удалённого выполнения кода в компиляторе регулярных выражений CI/CD. Ей присвоили номер CVE-2026-97229 и максимальную оценку CVSS 10 из 10; уязвимость также нашёл joaxcar. В прошлом месяце компания устранила ещё одну критическую ошибку, CVE-2026-85706, которая позволяла неавторизованным злоумышленникам читать с уязвимых серверов чувствительные данные, включая учётные данные и другие секреты. Ранее GitLab закрыла критическую уязвимость чтения файлов.

На следующий день после исправления CVE-2026-85706 Агентство кибербезопасности и безопасности инфраструктуры США (CISA) включило эту уязвимость в список активно используемых и предписало федеральным ведомствам защитить системы в течение трёх дней. С ноября 2021 года ведомство отметило пять уязвимостей GitLab, которые применяли в реальных атаках; одна из них использовалась в атаках с программами-вымогателями.