Разработчики GitLab выпустили патчи для очередной критической проблемы. Уязвимость получила идентификатор CVE-2026-110264 и максимальную оценку 10,0 балла по шкале CVSS. Баг позволяет удаленно выполнить произвольный код на сервере без аутентификации и затрагивает все self-managed версии GitLab начиная с 7.0, вышедшей в 2014 году.
Проблему обнаружили во встроенном в Ruby движке Onigmo, который GitLab использует в составе своих пакетов и самостоятельно патчит в своих сборках. Поскольку Onigmo используется в GitLab еще с версии 7.0, уязвимость затрагивает все релизы за последние 12 лет.
CVE-2026-110264 связана с целочисленным переполнением в компиляторе регулярных выражений и приводит к тому, что при определенных условиях атакующий может передать специально подготовленное регулярное выражение и в итоге добиться выполнения произвольного кода на сервере. При этом условия, которые требуются для успешной эксплуатации бага, разработчики пока не раскрывают.
Уязвимость исправили в GitLab CE и EE версий 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. При этом четыре последних ветки уже не поддерживаются, однако в силу серьезности бага разработчики сделали исключение и подготовили бэкпорты.
Отдельно подчеркивается, что администраторам, которые обновились в середине октября 2026 года из-за выхода предыдущего критического патча, придется установить еще одно обновление. Напомним, что тогда специалисты GitLab исправили похожую RCE-уязвимость CVE-2026-97229, которая также набрала 10 баллов из 10 возможных по шкале CVSS. Однако исправления для этой проблемы получили только ветки 19.2 и новее.
Кроме того, еще одну 10-балльную уязвимость, получившую идентификатор CVE-2026-85706, ранее устранили в сентябре 2026 года. Эта проблема позволяла неаутентифицированному атакующему читать произвольные файлы на сервере.
Хотя в настоящее время признаков эксплуатации CVE-2026-110264 в реальных атаках нет, аналитики The Shadowserver Foundation предупреждают, что в сети доступны более 2700 инстансов GitLab Community Edition. Однако неизвестно, сколько из них уже получили обновления.
Для поиска возможных попыток эксплуатации свежего бага специалисты GitLab опубликовали два правила детектирования — Onigmo native worker crash и Org mode render error burst. Они входят в опенсорсный фреймворк TLDR и используют логи GitLab для выявления подозрительной активности.
