GitLab пусна спешни обновления за сигурност заради критична уязвимост, която може да позволи на атакуващи да изпълняват код на самостоятелно управлявани сървъри без да се автентикират. Пропуската е с идентификатор CVE-2026-110264, има максималния CVSS резултат 10.0 и засяга както GitLab Community Edition, така и Enterprise Edition. Компанията публикува корекциите на 21 октомври 2026 г.
Засегнатият код датира от GitLab 7.0, издаден през 2014 г., което дава на уязвимостта история от около 12 години. Това не означава, че атакуващи я използват от 12 години. Съобщението на GitLab описва риска, но не съобщава за потвърдени атаки и не предоставя публичен експлойт.
Уязвимост в GitLab за отдалечено изпълнение на код
Според официалното съобщение за сигурност на GitLab уязвимостта представлява целочислено препълване при компилиране на специално изработен регулярен израз от сървъра. Регулярните изрази са шаблони за търсене на съвпадения в текст. При определени условия обработката на шаблон, контролиран от атакуващия, може да позволи изпълнение на произволен код на сървъра.
Оценката по CVSS на GitLab описва мрежова атака с ниска сложност, без нужда от привилегии на акаунт и без необходимо взаимодействие от потребител. Възможното въздействие върху поверителността на данните, целостта на данните и наличността на услугата е оценено като високо. Компанията обаче не е разкрила всички условия, необходими за достигане до уязвимия код.
GitLab посочва като автор на доклада изследователя по сигурността joaxcar, който е подал проблема чрез програмата за награди за открити грешки в HackerOne. Бележките към версиите включват и корекции за регулярните изрази в Ruby, което дава допълнителен контекст за засегнатия софтуерен слой, без да разкрива пълния път на атаката. Администраторите не бива да приемат, че уязвимостта изисква достъп до конкретен проект или функционалност, освен ако GitLab не потвърди такова ограничение.
| CVE ID | Сериозност | CVSS резултат | Засегнато издание | Уязвимост и потенциално въздействие |
|---|---|---|---|---|
| CVE-2026-110264 | Критична | 10.0 | CE и EE | Целочислено препълване при компилиране на специално изработен регулярен израз може да позволи на неавтентикиран атакуващ да изпълни код на GitLab сървъра. |
| CVE-2026-15723 | Висока | 8.2 | CE и EE | Неправилна обработка на входни данни при свързване на акаунти от OmniAuth към LDAP може да позволи на автентикиран атакуващ да поеме контрола над акаунт, базиран на LDAP, когато е включено автоматичното свързване на SAML и LDAP. |
| CVE-2026-112212 | Висока | 7.5 | CE и EE | Отравяне на кеша в отговорите за откриване на OAuth/OIDC може да позволи на неавтентикиран атакуващ да пренасочи определени процеси на автентикация към сървър, контролиран от него. |
| CVE-2026-12664 | Средна | 6.8 | CE и EE | Липсващи проверки на обхвата в GraphQL могат да позволят на потребител с токен read_api да получи входящия имейл адрес на проект и да създава работни елементи извън предвидените за токена права. |
| CVE-2026-16255 | Средна | 5.9 | EE | Непълно прилагане на заключването на членството чрез SAML/LDAP може да позволи на автентикирани потребители да предоставят или приемат членства извън контрола на доставчика на идентичност, чрез заявки, създадени преди включването на заключването. |
| CVE-2026-105777 | Средна | 4.3 | CE и EE | Неправилно филтриране на вътрешни заглавия в отговорите може при определени условия да разкрие чувствителни вътрешни идентификационни данни на сървъра. |
| CVE-2026-13319 | Средна | 4.3 | CE и EE | Липсващи проверки за оторизация в API-то за етапи на групи могат да позволят на автентикирани потребители да четат подробности за етапи и пътища на проекти от частни проекти, без да са членове. |
| CVE-2026-112378 | Средна | 4.3 | EE | Недостатъчни проверки за таксуване от страна на сървъра могат да позволят на автентикирани потребители достъп до платени AI функции без валиден абонамент. |
| CVE-2026-105711 | Ниска | 3.5 | CE и EE | Неправилно кеширане на заглавията на merge request може да разкрие заглавия на поверителни задачи на автентикирани потребители, които не са членове на проекта. |
| CVE-2026-14288 | Ниска | 3.1 | EE | Неправилен контрол на достъпа при синхронизиране на правилата за одобрение може да позволи на автентикирани потребители да заобиколят задължителните одобрения на merge request в защитени клонове. |
| CVE-2026-112326 | Ниска | 3.1 | EE | Неправилно почистване при обработка на грешки може да позволи на потребители с права само за четене да изтрият трайно съществуващи записи за уязвимости. |
| CVE-2026-103515 | Ниска | 2.7 | EE | Непълно прилагане на заключването от администратор на Duo може да позволи на собствениците на групи отново да включат базирани на AI трансфери на данни към услуга на трета страна чрез настройките на Amazon Q. |
Засегнати версии и налични корекции
Уязвимостта засяга GitLab CE и EE от версия 7.0 нататък. GitLab я е отстранил във версии 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1. По-ранните издания в тези клонове остават засегнати. Компанията е разширила корекцията до четири по-стари клона извън стандартните си издания с корекции за сигурност.
Клиентите със самостоятелно управлявани инсталации трябва да обновят незабавно. GitLab.com вече работи със софтуер с инсталирани корекции. Според съобщението клиентите на GitLab Dedicated, които използват 19.3.5-internal0, 19.4.2-internal0 или по-нови версии, вече имат корекциите и не се налагат действия. GitLab посочва още, че когато в съобщението не е назован конкретен тип внедряване, засегнати са всички типове внедряване.
Този проблем не бива да се бърка с по-ранната уязвимост за изпълнение на код в GitLab, коригирана на 12 октомври. Тази отделна пропуска, CVE-2026-97229, също е свързана с обработката на регулярни изрази, но засяга различен диапазон от версии. Инсталирането на онова по-ранно обновление не отстранява новоразкритата уязвимост.
GitLab публикува две ръководства за откриване за самостоятелно управлявани среди, наречени „Onigmo native worker crash“ и „Org mode render error burst“. Тези ресурси са предназначени да помогнат на екипите по сигурност да идентифицират възможни опити за експлоатация. Публикуването им не е доказателство, че е имало атаки, а в съобщението нито един от двата сигнала не е определен като доказателство за успешна компрометация.
Изданието с корекции за сигурност отстранява общо 12 уязвимости. Друг сериозен проблем, CVE-2026-15723, е с CVSS резултат 8.2. Когато са включени едновременно автоматичното свързване на OmniAuth SAML и LDAP, автентикиран атакуващ може да поеме контрола над съществуващ акаунт, базиран на LDAP, без участие на жертвата. CVE-2026-112212, оценена със 7.5, засяга отровени отговори за откриване на OAuth и OpenID Connect, които могат да пренасочат определени процеси към сървър, контролиран от атакуващия.
Тези корекции следват други скорошни обновления за сигурност на GitLab, включително отделна уязвимост за отдалечено изпълнение на команди в AI Gateway. Тези съобщения касаят различни компоненти и изисквания за атака, така че точната проверка на версиите е по-полезна от предположението, че едно обновление на GitLab покрива всеки свързан продукт.
Администраторите трябва да прегледат инструкциите за обновяване на GitLab преди внедряване. В съобщението се предупреждава, че миграциите на базата данни могат да повлияят на процеса – със спиране на услугата при инсталации с един възел и с налични процедури без прекъсване за подходящи конфигурации с няколко възела.
Версии 19.3.6 и 19.4.3 включват обикновени миграции. GitLab обикновено публикува подробностите за сериозните проблеми 90 дни след отстраняването им, затова екипите не бива да отлагат обновяването в очакване на пълните технически подробности.
Корекциите на GitLab идват заедно с обновления за сигурност за Node.js и PHP, което увеличава натоварването с инсталиране на корекции за екипите, които поддържат уеб приложения и услуги за разработка.
Cyber Security News съобщава, че Node.js е пуснал обновления за сигурност, отстраняващи десет уязвимости в клоновете 26.x, 24.x и 22.x, като коригираните версии са 26.12.1, 24.22.1 и 22.23.4.
Междувременно PHP издаде спешни корекции за PHP2Shell – двойка критични пропуски при работа с паметта, проследявани като CVE-2026-109618 и CVE-2026-109619.