2026-10-25
GitLab CVE-2026-110264 (CVSS 10.0): как проверить и обновить самостоятельно развёрнутый GitLab
21 октября 2026 года GitLab выпустил критические патч-версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 для Community Edition (CE) и Enterprise Edition (EE). Самая серьёзная уязвимость, CVE-2026-110264 (CVSS 10.0), представляет собой целочисленное переполнение при компиляции специально сформированного регулярного выражения, которое при определённых условиях может позволить неаутентифицированному пользователю выполнить произвольный код на сервере GitLab. Затронуты почти все версии начиная с 7.0. GitLab.com уже исправлен; установки, развёрнутые самостоятельно, нужно обновить. В том же выпуске исправлены две уязвимости высокой степени серьёзности (CVSS 8.2 и 7.5) и другие, но эти исправления входят только в ветки 19.3.6, 19.4.3 и 19.5.1. Корень проблемы находится в движке регулярных выражений Ruby (Onigmo); 23 октября Ruby выпустил версии 4.0.9, 3.4.12 и 3.3.13. Приложения, которые компилируют regexp из строк, контролируемых злоумышленником, затронуты, а Regexp.timeout не защищает от этих ошибок. Сообщений об эксплуатации нет, и на 25 октября уязвимости не было в каталоге KEV от CISA. Вывод этого сайта: сегодня обновите самостоятельно развёрнутый GitLab, предварительно проверив обязательные промежуточные версии, и доведите установку до 19.3.6 или новее. Ruby-приложениям следует перейти на исправленную версию Ruby и перестать формировать regexp из пользовательского ввода.