Компания GitLab выпустила исправления безопасности для критической уязвимости в компоненте компиляции регулярных выражений (Regular Expression Compiler). Она позволяет злоумышленникам удалённо выполнять произвольный код на затронутых серверах.
Проблеме присвоен идентификатор CVE-2026-110264; о ней сообщил исследователь безопасности, выступающий под псевдонимом «joaxcar», через программу вознаграждения за обнаружение уязвимостей на платформе HackerOne.
Уязвимость CVE-2026-110264 вызвана ошибкой переполнения целых чисел (integer overflow) в компиляторе регулярных выражений GitLab — фоновом механизме, который анализирует и проверяет регулярные выражения в конфигурационных файлах.
Проблема затрагивает все версии программного обеспечения, начиная с 7.0, выпущенной в 2014 году.
GitLab устранила уязвимость в версиях Community Edition (CE) и Enterprise Edition (EE): 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Пользователям рекомендуют незамедлительно установить обновления.
Это обновление важно даже для тех администраторов, которые установили патч девятью днями ранее: обновление от 12 октября затрагивало только версии 19.2 и новее, а новые исправленные версии вышли ещё позже, поэтому системы, обновлённые в прошлый раз, снова оказались уязвимыми.
Компания сообщает, что на данный момент нет признаков использования этой уязвимости в реальных атаках; по состоянию на 22 октября она также не включена в каталог известных эксплуатируемых уязвимостей, который ведёт Агентство по кибербезопасности и защите инфраструктуры США (CISA).
Меры необходимо принять только тем, кто использует самостоятельно развёрнутые экземпляры GitLab.
«Компания устранила проблему, которая при определённых условиях могла позволить неавторизованному пользователю выполнить произвольный код на сервере GitLab. Это происходило из‑за переполнения целых чисел при компиляции специально сформированного регулярного выражения, — заявили в GitLab. — Мы настоятельно рекомендуем как можно скорее обновить все экземпляры GitLab, использующие затронутые версии, до актуальной версии. […] Платформа GitLab.com уже работает на исправленной версии. В среде GitLab Dedicated версии 19.3.5-internal0, 19.4.2-internal0 и более поздние уже содержат необходимые исправления, поэтому дополнительные действия не требуются».
По данным организации Shadowserver, отслеживающей угрозы в интернете, в настоящее время в сети обнаружено более 2700 экземпляров GitLab Community Edition. При этом нет точных сведений о том, сколько из них являются «приманками» (honeypots) или уже защищены от подобных атак. Десять дней назад GitLab также предупреждала пользователей о другой критической уязвимости, позволяющей выполнить произвольный код (CVE-2026-97229, оценка по шкале CVSS — 10/10). Она также была обнаружена в компоненте компиляции регулярных выражений (в системе CI/CD) тем же исследователем безопасности. В прошлом месяце была устранена еще одна уязвимость максимального уровня критичности в GitLab CE/EE (CVE-2026-85706), которая позволяет неавторизованным злоумышленникам считывать конфиденциальные данные, например, учётные данные и другую секретную информацию, с уязвимых серверов.
Источник: habr.com