Уязвимости Критическая RCE-уязвимость в GitLab оставалась незамеченной на протяжении 12 лет

Разработчики GitLab выпустили патчи для очередной критической проблемы. Уязвимость получила идентификатор CVE-2026-110264 и максимальную оценку 10,0 балла по шкале CVSS. Баг позволяет удаленно выполнить произвольный код на сервере без аутентификации и затрагивает все self-managed версии GitLab начиная с 7.0, вышедшей в 2014 году.


Проблему обнаружили во встроенном в Ruby движке Onigmo, который GitLab использует в составе своих пакетов и самостоятельно патчит в своих сборках. Поскольку Onigmo используется в GitLab еще с версии 7.0, уязвимость затрагивает все релизы за последние 12 лет.


CVE-2026-110264 связана с целочисленным переполнением в компиляторе регулярных выражений и приводит к тому, что при определенных условиях атакующий может передать специально подготовленное регулярное выражение и в итоге добиться выполнения произвольного кода на сервере. При этом условия, которые требуются для успешной эксплуатации бага, разработчики пока не раскрывают.


Уязвимость исправили в GitLab CE и EE версий 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. При этом четыре последних ветки уже не поддерживаются, однако в силу серьезности бага разработчики сделали исключение и подготовили бэкпорты.


Отдельно подчеркивается, что администраторам, которые обновились в середине октября 2026 года из-за выхода Для просмотра ссылки Войди или Зарегистрируйся, придется установить еще одно обновление. Напомним, что тогда специалисты GitLab исправили похожую RCE-уязвимость Для просмотра ссылки Войди или Зарегистрируйся, которая также набрала 10 баллов из 10 возможных по шкале CVSS. Однако исправления для этой проблемы получили только ветки 19.2 и новее.


Кроме того, еще одну 10-балльную уязвимость, получившую идентификатор Для просмотра ссылки Войди или Зарегистрируйся, ранее Для просмотра ссылки Войди или Зарегистрируйся в сентябре 2026 года. Эта проблема позволяла неаутентифицированному атакующему читать произвольные файлы на сервере.


Хотя в настоящее время признаков эксплуатации CVE-2026-110264 в реальных атаках нет, аналитики The Shadowserver Foundation предупреждают, что в сети доступны Для просмотра ссылки Войди или Зарегистрируйся инстансов GitLab Community Edition. Однако неизвестно, сколько из них уже получили обновления.


Для поиска возможных попыток эксплуатации свежего бага специалисты GitLab опубликовали два правила детектирования — Для просмотра ссылки Войди или Зарегистрируйся и Для просмотра ссылки Войди или Зарегистрируйся. Они входят в опенсорсный Для просмотра ссылки Войди или Зарегистрируйся и используют логи GitLab для выявления подозрительной активности.

Для просмотра ссылки Войди или Зарегистрируйся