Ошибка, которой больше десяти лет, позволяла превратить GitLab в точку входа на сервер без пароля. 21 октября разработчики выпустили экстренные исправления для Community Edition и Enterprise Edition, закрыв CVE-2026-110264. Уязвимость получила максимальные 10,0 балла по CVSS 3.1 и затрагивала версии начиная с GitLab 7.0, выпущенной ещё в 2014 году.

GitLab подтвердила, что при определённых условиях злоумышленник мог удалённо выполнить произвольный код без учётной записи и действий со стороны пользователя. Причина кроется в целочисленном переполнении при компиляции специально сформированного регулярного выражения. Ошибка связана с движком Onigmo, который используется в Ruby для поиска и обработки текста.

Регулярные выражения помогают программам находить текст по заданному шаблону. В данном случае слишком большое число повторений могло переполнить внутренний счётчик и нарушить работу с памятью. Исправление заставляет компилятор отклонять такие шаблоны. По опубликованным GitLab правилам обнаружения видно, что один из путей атаки связан с обработкой файлов формата .org.

Масштаб проблемы оказался необычным даже для критических ошибок. Уязвимыми признаны все сборки от 7.0 до 18.11.13, не включая исправленную версию, а также ветки 19.0–19.5 до соответствующих октябрьских патчей. Для старых установок без поддерживаемой ветки потребуется переход на более новый релиз, поскольку отдельного исправления для каждой прежней версии нет.

Исправления получили версии 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1. GitLab настоятельно рекомендует обновить собственные серверы. GitLab.com уже работает с патчем, а клиентам GitLab Dedicated на указанных компанией внутренних релизах дополнительное обновление не требуется. Для самостоятельно размещённых систем риск сохраняется до установки исправления.

За девять дней до нынешнего выпуска GitLab уже закрыла RCE в обработке регулярных выражений CI/CD. Та проблема получила идентификатор CVE-2026-97229 и оценку 10,0 по CVSS 3.1, но затрагивала только новые версии. Речь идёт о двух разных уязвимостях, а не о переименовании одной CVE. Патчи от 12 октября не защищают от новой ошибки.

Команда «СайберОК» заявила, что проверила возможность эксплуатации CVE-2026-110264. При этом публичного рабочего эксплойта и подтверждённых случаев применения в реальных атаках по состоянию на 22 октября не обнаружено. GitLab опубликовала два правила обнаружения. Первое отслеживает сбои процессов Onigmo, второе выявляет серии ошибок при отображении файлов .org.

Администраторам советуют срочно установить подходящую исправленную версию. При невозможности немедленного обновления можно временно ограничить сетевой доступ к серверу и проверить журналы на необычные сбои Ruby и ошибки обработки .org. Такие меры не устраняют уязвимость. Отдельные индикаторы также не доказывают факт взлома, поскольку сбои могут возникать по другим причинам.