GitLab divulga correção para vulnerabilidade crítica de execução remota de código
Em 21 de outubro, a GitLab anunciou uma atualização de segurança destinada a corrigir uma falha classificada como crítica, que permite a execução de código arbitrário em servidores auto-gerenciados sem necessidade de autenticação. A vulnerabilidade, identificada como CVE-2026-110264, recebeu a máxima pontuação de 10,0 na escala CVSS, indicando gravidade extrema.
A falha afeta todas as versões do software desde a liberação 7.0, lançada em 2014, abrangendo mais de uma década de lançamentos. A correção foi implementada simultaneamente em sete versões distintas, incluindo backports para versões anteriores que normalmente estariam fora do escopo de suporte da empresa.
Segundo comunicado da GitLab, a execução de código não autenticada ocorre devido a um estouro de inteiro durante a compilação de uma expressão regular especialmente manipulada. A empresa não detalhou quais condições específicas permitem a exploração, mas ressaltou que não há evidências de uso em ataques reais até o momento.
Atualização de 12 de outubro deixou instâncias vulneráveis novamente
Administradores que aplicaram a atualização lançada em 12 de outubro, nove dias antes da correção completa, foram impactados novamente. A atualização anterior cobria apenas versões a partir de 19.2, enquanto a nova correção abrange versões anteriores, colocando instâncias atualizadas anteriormente em risco renovado.
A GitLab informou que instalações gerenciadas diretamente por usuários (self-managed) devem atualizar imediatamente. Já o GitLab.com e os ambientes GitLab Dedicated com versões internas 19.3.5-internal0 e 19.4.2-internal0 ou posteriores já contam com a correção aplicada.
- 18.11.13
- 19.0.10
- 19.1.9
- 19.2.9
Essas versões representam exceções à política padrão da empresa, que normalmente oferece suporte apenas à versão atual e às duas anteriores. A decisão de retroativamente corrigir versões mais antigas reflete a gravidade da ameaça.
Quarta falha de execução de código no motor de expressões regulares
Essa é a quarta vulnerabilidade de execução remota de código no motor de expressões regulares da GitLab relatada pelo mesmo pesquisador, que utiliza o pseudônimo joaxcar, dentro de um mês. As três vulnerabilidades anteriores, divulgadas nos meses de setembro e outubro, estavam limitadas a versões 19.2 em diante.
Além da falha de CVSS 10, a atualização de 21 de outubro corrige 11 outros problemas de segurança, incluindo outras duas falhas classificadas como alta severidade. Uma delas, CVE-2026-15723 (CVSS 8,2), pode permitir que um usuário autenticado assuma o controle de outra conta quando administradores ativam a sincronização automática entre SAML e LDAP.
Outra vulnerabilidade relevante, CVE-2026-112212 (CVSS 7,5), trata de um problema de envenenamento de cache nos endpoints OAuth e OpenID Connect, potencialmente redirecionando fluxos de autenticação para servidores maliciosos em ambientes com cache compartilhado.