GitLab vydal mimoriadne opravy kritickej chyby CVE-2026-110264

GitLab opravil kritickú neautentifikovanú zraniteľnosť umožňujúcu vzdialené vykonanie kódu. Správcovia self-managed inštancií CE a EE majú aktualizovať prioritne.

GitLab CVE-2026-110264 je kritická zraniteľnosť v self-managed inštanciách GitLab Community Edition a Enterprise Edition, pre ktorú výrobca 21. októbra 2026 vydal mimoriadne bezpečnostné opravy. Chyba má maximálne hodnotenie CVSS 10.0 a za určitých podmienok môže neautentifikovanému útočníkovi umožniť vykonať ľubovoľný kód na GitLab serveri.

GitLab vydal opravené verzie 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 a 18.11.13. Postihnutý rozsah zahŕňa historické verzie od 7.0 až po príslušné uvedené opravné vydania. Správcovia vlastných nasadení by preto mali určiť používanú vetvu a bezodkladne prejsť na zodpovedajúcu opravenú verziu.

GitLab CVE-2026-110264: chyba pri spracovaní regulárneho výrazu

Podľa GitLabu ide o integer overflow pri kompilácii špeciálne upraveného regulárneho výrazu. Pri splnení určitých podmienok môže tento stav viesť k vzdialenému vykonaniu ľubovoľného kódu. Významným faktorom je, že útočník podľa výrobcu nepotrebuje účet v GitLabe.

Úspešné zneužitie by mohlo znamenať spustenie kódu priamo na serveri, na ktorom GitLab beží. V prípade kompromitácie sa tak môže týkať dát uložených v službe aj prostredí používaného na vývoj a CI/CD procesy. Riziko je zvlášť dôležité pre internetovo dostupné inštancie.

CERT-EU vo svojom bezpečnostnom upozornení odporučil urýchlenú aktualizáciu zasiahnutých aktív, prioritne systémov vystavených internetu, a posúdenie možnej kompromitácie.

Ktoré nasadenia vyžadujú zásah

Opravy sa týkajú self-managed nasadení GitLab CE a EE. GitLab.com už podľa výrobcu používa opravenú verziu, takže používatelia hostovanej služby nemajú vykonávať vlastnú aktualizáciu serverovej platformy.

GitLab Dedicated nevyžaduje zásah, ak používa verziu 19.3.5-internal0 alebo 19.4.2-internal0 a novšiu. Správcovia ostatných vlastných inštalácií majú nasadiť príslušné vydanie z opravenej série:

  • 19.5.1,
  • 19.4.3,
  • 19.3.6,
  • 19.2.9,
  • 19.1.9,
  • 19.0.10,
  • 18.11.13.

GitLab zároveň zverejnil dve detekcie pokusov o zneužitie určené pre self-managed inštalácie. Organizácie ich môžu využiť pri preverovaní vlastného prostredia popri nasadení aktualizácie.

Zatiaľ bez nezávisle potvrdených útokov

K 22. októbru 2026 nebolo vo využitých zdrojoch nezávisle potvrdené aktívne zneužívanie chyby GitLab CVE-2026-110264 v reálnych útokoch. Nejde však len o teoretické upozornenie: výrobca potvrdil existenciu zraniteľnosti, jej závažnosť aj dostupnosť opráv.

GitLab zatiaľ nezverejnil verejné technické detaily ani dôkaz funkčného exploitu. Detailné záznamy k zraniteľnosti majú byť sprístupnené po štandardnej 90-dňovej lehote. Správcovia by preto nemali čakať na ďalšie informácie a mali by aktualizáciu zaradiť medzi prioritné úkony.

Ďalší vývoj ukáže, či americká CISA alebo iná autorita zaradí chybu medzi aktívne zneužívané zraniteľnosti. Dôležité budú aj dôveryhodné správy o útokoch, prípadný verejný exploit a dodatočné pokyny GitLabu pre forenznú kontrolu či detekciu kompromitácie.

Súvisiace články

Zdroje

  • GitLab Docs – Critical Patch Release – Primárne potvrdzuje CVE-2026-110264, mechanizmus chyby, CVSS 10.0, rozsah zasiahnutých verzií, opravené verzie a stav GitLab.com/GitLab Dedicated.
  • CERT-EU Security Advisory 2026-019 – Nezávislé oficiálne varovanie odporúča urýchlenú aktualizáciu postihnutých aktív, prednostne systémov vystavených internetu, a posúdenie možnej kompromitácie.
  • BleepingComputer – Sekundárne potvrdzuje vydanie opráv a uvádza, že v čase publikácie neboli doložené informácie o zneužití tejto konkrétnej chyby.

Overené a aktualizované: 22. 10. 2026 15:19

Značky
Zdieľanie

Súvisiace