Szczegóły nowej podatności
Problem oznaczony jako CVE-2026-110264 został zgłoszony przez badacza bezpieczeństwa działającego pod pseudonimem joaxcar za pośrednictwem programu bug bounty w serwisie HackerOne. Podatność wynika z błędu przekroczenia zakresu liczbowego (integer overflow) w kompilatorie wyrażeń regularnych firmy GitLab. Jest to silnik działający w tle, który odpowiada za analizę i walidację wyrażeń regularnych w plikach konfiguracyjnych. W określonych warunkach błąd ten pozwala nieuwierzytelnionemu użytkownikowi na zdalne wykonanie dowolnego kodu na serwerze.
Wydane poprawki i zalecenia
Firma usunęła błąd w wersjach Community Edition (CE) oraz Enterprise Edition (EE): 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 oraz 18.11.13. Zaleca ona natychmiastowe zaktualizowanie wszystkich zagrożonych instancji do najnowszych wersji. Usługa GitLab.com korzysta już z załatanej wersji, a dzierżawcy wersji GitLab Dedicated korzystający z wydań 19.3.5-internal0 i 19.4.2-internal0 lub nowszych posiadają już niezbędne poprawki i nie muszą podejmować dodatkowych działań.
Organizacja monitorująca zagrożenia w sieci Shadowserver śledzi ponad 2700 wystawionych w internecie instancji GitLab Community Edition, choć statystyki te nie uwzględniają pułapek typu honeypot oraz systemów, które zostały już zabezpieczone.
Poprzednie incydenty i skala platformy
Dziesięć dni wcześniej GitLab ostrzegał klientów przed inną krytyczną podatnością zdalnego wykonania kodu oznaczoną jako CVE-2026-97229 z maksymalnym wynikiem 10 w skali CVSS, która dotyczyła kompilatora wyrażeń regularnych w module CI/CD. W poprzednim miesiącu usunięto również błąd CVE-2026-85706 pozwalający nieuwierzytelnionym atakującym na odczyt poufnych danych, takich jak poświadczenia i sekrety. Agencja CISA dodała tę drugą lukę do listy aktywnie wykorzystywanych zagrożeń i nakazała agencjom federalnym zabezpieczenie systemów.
Platforma DevSecOps posiada ponad 30 milionów zarejestrowanych użytkowników na całym świecie i jest wykorzystywana przez ponad połowę firm z zestawienia Fortune 100, w tym takie podmioty jak Nvidia, T-Mobile, Lockheed Martin, Airbus oraz Goldman Sachs.
