GitLab CVE-2026-110264: CVSS 10,0, execuție de cod prin expresie regulată, în versiuni din ultimii 12 ani. Dacă ai actualizat pe 12 octombrie, actualizează din nou

• DNSC a publicat pe 23 octombrie alerta „Vulnerabilități critice în GitLab”, care pornește de la actualizările de securitate din 21 octombrie. Nu am putut citi conținutul paginii; o menționăm după titlu și dată.
• The Hacker News relatează că Ruby a lansat versiunile 4.0.9, 3.4.12 și 3.3.13, care repară trei defecte din Onigmo, motorul de expresii regulate din Ruby, și că acestea stau în spatele a patru defecte critice GitLab corectate în ultima lună. Este o singură sursă; dacă se confirmă, răspunde întrebării din articol dacă defectele GitLab sunt din aceeași clasă. Pentru aplicații Ruby proprii, verifică versiunea interpretorului.

• CVE-2026-110264: depășire de întreg în compilatorul de expresii regulate, CE și EE, severitate critică, CVSS 10,0. Sunt afectate versiunile de la 7.0 încolo, până la versiunile corectate.
• Versiuni corectate: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 și 18.11.13. Corectura a fost portată retroactiv în 18.11.13, 19.0.10, 19.1.9 și 19.2.9.
• GitLab.com este deja corectat, iar tenanții GitLab Dedicated pe 19.3.5-internal0 sau 19.4.2-internal0 și mai noi includ deja corecturile.
• Instanțele self-managed trebuie actualizate cât mai repede. Pagina patch-ului pe care am citit-o nu listează o soluție temporară.
• GitLab a publicat două reguli de detecție pentru instanțele self-managed: „Onigmo native worker crash” și „Org mode render error burst”, pentru exploatarea CVE-2026-110264.
• Patch-ul include migrări de baze de date: pe un singur nod apare timp de nefuncționare, pe configurații cu mai multe noduri se poate folosi procedura documentată fără oprire.
• Același patch repară încă 11 vulnerabilități, între care două de severitate ridicată: CVE-2026-15723 (autentificare incorectă la asocierea automată OmniAuth–LDAP, necesită SAML și LDAP active, scor 8,2) și CVE-2026-112212 (otrăvire de cache în endpointurile de descoperire OAuth/OIDC, scor 7,5).

Pe 12 octombrie, GitLab a corectat un alt defect cu scor 10,0, CVE-2026-97229, tot o depășire de întreg în compilatorul de expresii regulate, în 19.2.8, 19.3.5 și 19.4.2. Rapid7 a reprodus execuția de cod pe o instanță 19.4.1 nepatchuită, a publicat o demonstrație și a notat că exploatarea cere ca atacatorul să poată comite un fișier .gitlab-ci.yml rău intenționat într-un proiect public; instanțele care permit înregistrarea liberă și crearea de proiecte elimină această limită. Rapid7 nu confirma exploatare în lume la data articolului.

The Hacker News observă că versiunile corectate acum sunt cu un pas peste cele de pe 12 octombrie, deci instanțele actualizate atunci rămân vulnerabile la CVE-2026-110264 până la noua actualizare. Aceasta este lectura publicației pe baza numerelor de versiune; confirmă în avizul GitLab pentru ramura ta.

Rapid7 descrie mecanismul defectului din 12 octombrie, iar The Hacker News descrie componenta din noul defect drept Onigmo, motorul de expresii regulate din Ruby livrat de GitLab. Nu am verificat independent dacă cele două sunt aceeași clasă de problemă; GitLab nu spune.

• Condițiile exacte în care un atacator ajunge la compilator: GitLab nu le-a publicat, deci nu poți exclude riscul printr-o configurație.
• Exploatarea: GitLab nu raportează semne de exploatare, iar The Hacker News notează că defectul nu era în catalogul CISA KEV la data articolului. Nu cunoaștem o demonstrație publică pentru CVE-2026-110264; există una pentru CVE-2026-97229.
• Câte instanțe expuse sunt vulnerabile: nu există cifre în sursele citite.
• Raportorul și cronologia dezvăluirii: nu le-am verificat.

• Inventariază instanțele GitLab self-managed (inclusiv cele din filiale, de test și ale furnizorilor) și versiunea fiecăreia.
• Actualizează la versiunea corectată a ramurii tale: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 sau 18.11.13. Dacă ești pe 19.2.8, 19.3.5 sau 19.4.2, actualizarea de pe 12 octombrie nu este suficientă. Planifică timpul de nefuncționare pentru migrările de baze de date.
• Dacă nu poți actualiza imediat, nu lăsa instanța expusă în internet: pune-o în spatele VPN sau al unei liste de adrese permise, oprește înregistrarea liberă și crearea de proiecte publice de către utilizatori necunoscuți. Rapid7 spune că acestea blochează doar calea de livrare demonstrată pentru defectul din 12 octombrie, nu compilatorul.
• Activează regulile de detecție ale GitLab și caută în jurnale căderi ale procesului nativ Onigmo și rafale de erori de randare Org mode.
• Tratează GitLab ca pe un sistem cu secrete: dacă ai semne de compromitere, rotește variabilele CI/CD, tokenurile de acces, cheile de implementare și acreditările de integrare, apoi verifică proiectele și pipeline-urile pentru modificări neautorizate.
• Dacă GitLab îți este administrat de un furnizor sau de o echipă externă, cere în scris versiunea, data actualizării și ce a fost verificat.

• Sistemele de control al codului sunt infrastructură critică pentru firmele de software. Ai un termen de corectare pentru ele mai scurt decât pentru restul?
• Cine poate aproba o actualizare de urgență cu timp de nefuncționare pentru sistemul pe care dezvoltatorii îl folosesc zilnic?
• Două patch-uri critice în nouă zile arată că actualizarea trebuie să fie un proces repetabil, nu un eveniment.

NIS2 cere gestionarea vulnerabilităților și a riscurilor din lanțul de aprovizionare, inclusiv pentru furnizorii de software. Dacă găsești o compromitere, entitățile esențiale și importante au avertizarea timpurie în 24 de ore și raportul inițial în 72 de ore pentru incidente semnificative; pentru date personale, GDPR cere notificare în 72 de ore dacă riscul o impune. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Pagina patch-ului GitLab este sursa primară pentru versiuni, severitate și remediere. Rapid7 este sursa pentru defectul din 12 octombrie și pentru condițiile lui de exploatare. Legătura dintre cele două și alte detalii vin din The Hacker News și sunt interpretări ale publicației, marcate ca atare.

Awarely Monitor poate ajuta la evidența instanțelor GitLab expuse și a versiunilor, iar Awarely Learning la exercițiile pentru conducere despre actualizările de urgență. Articolul nu este consultanță juridică și nu garantează conformitatea.