2026-10-25
GitLab CVE-2026-110264 (CVSS 10.0): como verificar e atualizar um GitLab self-managed
Em 21 de outubro de 2026, o GitLab lançou as versões de correção crítica 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13 para a Community Edition (CE) e a Enterprise Edition (EE). A falha mais grave, a CVE-2026-110264 (CVSS 10.0), é um estouro de inteiro ao compilar uma expressão regular especialmente elaborada que, sob certas condições, poderia permitir que um usuário não autenticado executasse código arbitrário no servidor GitLab. Quase todas as versões a partir da 7.0 são afetadas. O GitLab.com já está corrigido; instalações self-managed precisam ser atualizadas. A mesma versão corrige duas falhas de gravidade Alta (CVSS 8.2 e 7.5) e outras, mas essas correções só chegam nas linhas 19.3.6, 19.4.3 e 19.5.1. A causa raiz está no motor de expressões regulares do Ruby (Onigmo), e o Ruby lançou 4.0.9, 3.4.12 e 3.3.13 em 23 de outubro. Aplicações que compilam uma regexp a partir de strings controladas pelo atacante são afetadas, e o Regexp.timeout não protege contra os bugs. Não há relatos de exploração, e a falha não consta no catálogo KEV da CISA até 25 de outubro. Conclusão deste site: atualize o GitLab self-managed hoje, após verificar as paradas obrigatórias de atualização, e chegue à 19.3.6 ou posterior. Aplicações Ruby devem migrar para um Ruby corrigido e parar de montar regexps a partir de entrada do usuário.