GitLab opravil kritickú chybu CVE-2026-110264 s maximálnym skóre CVSS

GitLab vydal opravy pre kritickú chybu CVE-2026-110264, ktorá môže za určitých podmienok umožniť neautentifikované spustenie kódu na serveri.

CVE-2026-110264 v GitLabe je zraniteľnosť, ktorá má podľa výrobcu maximálne skóre CVSS 3.1 10,0. Chyba sa týka self-managed inštalácií GitLab CE/EE od verzie 7.0 a za určitých podmienok môže neautentifikovanému útočníkovi umožniť spustenie ľubovoľného kódu na GitLab serveri.

Bezpečnostné aktualizácie boli zverejnené 21. októbra 2026 vo verziách 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 a 18.11.13. GitLab odporúča všetkým prevádzkovateľom zasiahnutých vlastných inštalácií bezodkladný upgrade na opravenú verziu vo vetve, ktorú používajú.

CVE-2026-110264 vzniká v kompilátore regulárnych výrazov

Podľa GitLabu ide o integer overflow v kompilátore regulárnych výrazov. Výrobca uvádza, že chyba môže pri splnení bližšie nešpecifikovaných podmienok viesť k spusteniu ľubovoľného kódu na serveri bez autentifikácie.

GitLab zatiaľ nezverejnil úplné technické predpoklady útoku ani verejný detail exploitu. Z oficiálneho oznámenia preto nie je možné určiť presný postup zneužitia ani konkrétne vstupy, ktoré by chybu vyvolali.

Rozsah problému je široký: zasiahnuté sú GitLab Community Edition aj Enterprise Edition od verzie 7.0 až po vydania, ktoré oprava nahrádza. Organizácie by mali overiť používanú vetvu a nasadiť príslušnú opravnú verziu: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 alebo 19.5.1.

GitLab CVE-2026-110264 vyžaduje aktualizáciu self-managed serverov

GitLab.com už podľa spoločnosti beží na opravenej verzii. Opravu už obsahujú aj vybrané aktuálne nasadenia GitLab Dedicated. Prioritou zostávajú self-managed prostredia, za ktorých aktualizáciu zodpovedajú ich prevádzkovatelia.

Pri single-node inštaláciách treba pri plánovaní zásahu rátať s možnou odstávkou, pretože upgrade môže vykonať databázové migrácie. Pri multi-node inštaláciách GitLab uvádza možnosť postupu bez odstávky.

V oficiálnom oznámení nie je uvedená náhradná mitigácia. Potvrdeným riešením je preto aktualizácia na jednu z vydaných opravných verzií.

Dve detekcie pre pokusy o zneužitie

Pre zákazníkov so self-managed GitLabom výrobca zverejnil dve detekcie pokusov o zneužitie: „Onigmo native worker crash“ a „Org mode render error burst“. Administrátori môžu tieto detekcie vyhodnotiť spolu s kontrolou relevantných logov vo svojom prostredí.

Samotná existencia detekčných pravidiel však nepotvrdzuje, že CVE-2026-110264 už útočníci aktívne zneužívajú. GitLab takúto aktivitu vo svojom oznámení nepotvrdil.

Pri verejne dostupných GitLab serveroch je závažnosť chyby daná najmä kombináciou maximálneho CVSS skóre a možnosti útoku bez prihlásenia. GitLab servery pritom často spracúvajú zdrojové kódy, konfigurácie CI/CD, tokeny a ďalšie dáta súvisiace s vývojom softvéru.

Čo sledovať po vydaní opravy

  • potvrdenie alebo vyvrátenie aktívneho zneužívania zo strany GitLabu či bezpečnostných agentúr,
  • prípadné zverejnenie technických detailov, PoC alebo presnejších podmienok útoku,
  • stav nasadenia opráv vo všetkých self-managed inštaláciách,
  • výsledky kontroly dvoch zverejnených detekcií a prevádzkových logov.

Súvisiace články

Zdroje

  • GitLab Docs – Critical Patch Release – GitLab potvrdzuje CVE-2026-110264, CVSS 10,0, možnosť neautentifikovaného spustenia ľubovoľného kódu, rozsah zasiahnutých verzií, opravené vydania, stav GitLab.com/Dedicated, detekčné pravidlá a postup aktualizácie.
  • The Hacker News – Nezávisle sumarizuje rozsah opráv, nejasné predpoklady zneužitia a fakt, že GitLab neposkytol priebežnú náhradnú mitigáciu.

Overené a aktualizované: 21. 10. 2026 22:50

Značky
Zdieľanie

Súvisiace