Безопасность 23 октября 2026, 08:37 МСК

GitLab закрыла критическую уязвимость RCE, существовавшую с 2014 года

GitLab выпустила обновления для уязвимости CVE-2026-110264 в компиляторе регулярных выражений, позволяющей удалённо выполнить произвольный код на сервере.

Ошибка переполнения целых чисел затрагивает все версии начиная с 7.0 (2014 год). О проблеме через HackerOne сообщил исследователь под псевдонимом «joaxcar». Исправления вышли в версиях CE и EE 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13.

Обновиться нужно и тем, кто ставил патч от 12 октября: он касался только версий 19.2 и новее, поэтому системы, обновлённые тогда, снова оказались уязвимыми. Меры необходимы только владельцам самостоятельно развёрнутых экземпляров: GitLab.com уже работает на исправленной версии, а в GitLab Dedicated исправления есть в версиях 19.3.5-internal0, 19.4.2-internal0 и новее.

По данным компании, признаков эксплуатации в реальных атаках нет, а по состоянию на 22 октября уязвимость не включена в каталог CISA. Shadowserver обнаружил в сети более 2700 экземпляров GitLab CE, но сколько из них защищены или являются «приманками», неизвестно. Десять дней назад GitLab устранила другую критическую уязвимость (CVE-2026-97229, CVSS 10/10), также найденную этим исследователем в компоненте обработки регулярных выражений.

• CVE-2026-110264, затронуты версии с 7.0
• Признаков атак в реальной среде нет
• Найдено более 2700 экземпляров GitLab CE