21 октября 2026 года GitLab выпустила версию 19.5.1 и исправления для шести других веток. Причина срочного обновления — уязвимость CVE-2026-110264 с максимальной оценкой CVSS 10.0: при определённых условиях она позволяла постороннему человеку выполнить произвольный код на сервере GitLab без входа в учётную запись. Патчи затрагивают GitLab Community Edition и Enterprise Edition, включая самостоятельно размещённые серверы.
Ошибка в обработке регулярных выражений позволяла выполнить код на сервере GitLab
Уязвимость CVE-2026-110264 связана с переполнением целого числа при компиляции специально подготовленного регулярного выражения. Регулярные выражения — это шаблоны, с помощью которых программы ищут и обрабатывают текст. В данном случае ошибка в механизме обработки такого шаблона при определённых условиях могла привести к выполнению команд на сервере.
Особую опасность представляет отсутствие требования авторизации. Для атаки, описанной в бюллетене GitLab, потенциальному злоумышленнику не требовалась учётная запись. Уязвимости присвоена оценка 10,0 из 10 по CVSS 3.1 — максимальный балл по шкале оценки серьёзности проблем безопасности.
В списке исправлений версии 19.5.1 отдельно указаны патчи обработки регулярных выражений в Ruby 3.3, 3.4 и 4.0. Это помогает понять техническую область исправления: проблема затрагивала компонент, который GitLab использует при обработке текста, а не отдельную настройку доступа к проектам.
GitLab опубликовала два правила обнаружения подозрительной активности: Onigmo native worker crash и Org mode render error burst. Они относятся к сбоям обработчика регулярных выражений и сериям ошибок при отображении файлов в формате Org mode. Наличие таких событий само по себе ещё не доказывает успешный взлом; правила предназначены для поиска возможных попыток эксплуатации.
Исправление потребовалось повторно после критического патча от 12 октября
За девять дней до выхода GitLab 19.5.1 компания уже закрывала другую уязвимость с оценкой CVSS 10.0 — CVE-2026-97229. Тогда речь шла о специально подготовленном регулярном выражении в конфигурации CI/CD, то есть механизма автоматической сборки и проверки кода. Исправления вошли в версии 19.4.2, 19.3.5 и 19.2.8.
Новая CVE-2026-110264 имеет отдельный идентификатор и значительно более широкий перечень затронутых версий. Поэтому установки, обновлённые 12 октября, всё ещё входят в список уязвимых по новому бюллетеню. Именно это делает новость существенной для администраторов, которые уже установили предыдущий экстренный патч.
GitLab выпустила следующие версии с исправлением CVE-2026-110264:
| Ветка GitLab | Версия с исправлением |
| 19.5 | 19.5.1 |
| 19.4 | 19.4.3 |
| 19.3 | 19.3.6 |
| 19.2 | 19.2.9 |
| 19.1 | 19.1.9 |
| 19.0 | 19.0.10 |
| 18.11 | 18.11.13 |
Согласно бюллетеню, проблема присутствовала и в более ранних версиях GitLab, начиная с 7.0. Для устаревших установок вне перечисленных веток нужен поддерживаемый путь обновления до защищённого выпуска.
GitLab исправила захват LDAP-учётных записей и подмену OAuth-адресов
Всего в бюллетене от 21 октября перечислены 12 исправлений безопасности: одно критическое, два высокой, пять средней и четыре низкой степени опасности.
Из двух уязвимостей высокой степени опасности первая, CVE-2026-15723 (CVSS 8.2), связана с привязкой учётных записей через OmniAuth SAML и LDAP. При одновременном включении соответствующих механизмов автоматического связывания пользователь, уже вошедший в систему, мог при определённых условиях захватить чужую учётную запись, связанную с LDAP. Действия владельца этой учётной записи для атаки не требовались.
Вторая, CVE-2026-112212 (CVSS 7.5), затрагивала документы обнаружения OAuth/OIDC — данные, которые помогают приложениям находить адреса сервисов авторизации. Из-за неправильного доверия входным значениям злоумышленник без авторизации мог при определённых условиях отравить общий кеш и перенаправить часть процессов авторизации на внешний сервер.
Ещё одно исправление, CVE-2026-12664 (CVSS 6.8), касается GraphQL API. Токен с ограниченными правами read_api мог использоваться для получения входящего почтового адреса проекта и создания рабочих элементов в обход ограничений токена. Среди остальных исправлений GitLab перечисляет проблемы с разграничением прав в группах, раскрытием служебных данных, правилами согласования merge request и настройками AI-функций.
Кого затрагивает обновление GitLab 19.5.1
Исправления предназначены прежде всего для GitLab Self-Managed — серверов, которые организации устанавливают и обслуживают самостоятельно. Компания сообщила, что GitLab.com уже работает с исправлениями. У арендаторов GitLab Dedicated с внутренними версиями 19.3.5-internal0 и 19.4.2-internal0 или новее эти исправления также уже присутствуют.
Условия установки зависят от архитектуры сервера. Согласно документации GitLab, при обновлении односерверной установки возникает период недоступности. Многосерверные конфигурации могут обновляться без остановки обслуживания при соблюдении специальной процедуры. В бюллетене отдельно указано, что обычные миграции базы данных входят в патчи 19.4.3 и 19.3.6, а миграции после развёртывания — в 19.4.3.
В GitLab 19.5.1 есть и исправления вне безопасности. Например, GitLab Workhorse теперь возвращает HTTP 429, если сервис Gitaly отклоняет получение архива из-за исчерпания ресурсов; также изменена загрузка данных сниппетов при резервном копировании репозиториев. Но причиной экстренного выпуска остаётся прежде всего уязвимость с возможностью выполнения кода.
Критическая проблема затронула несколько поколений GitLab
Бюллетень от 21 октября охватывает семь веток GitLab, включая линейку 18.11 и шесть веток версии 19. Исправление CVE-2026-110264 вышло всего через девять дней после предыдущего экстренного патча для другой ошибки в обработке регулярных выражений. При этом GitLab не приводит в сообщении число подтверждённых успешных атак или пострадавших серверов.
Отдельный вопрос — насколько широко злоумышленники уже пытались использовать новый механизм. Опубликованные GitLab правила обнаружения дают администраторам признаки подозрительных событий, но не заменяют данных о фактическом масштабе атак.
Источники
- GitLab — Critical Patch Release 19.5.1, 19.4.3 и других версий от 21 октября 2026 года
- GitLab — Critical Patch Release 19.4.2, 19.3.5 и 19.2.8 от 12 октября 2026 года
- GitLab — варианты обновления с простоем и без простоя
- GitLab Security — правило обнаружения Onigmo native worker crash
- GitLab Security — правило обнаружения Org mode render error burst
