В GitLab обнаружена критическая уязвимость CVE‑2026‑110264 с удаленным выполнением кода (RCE). Ошибка в движке регулярных выражений Onigmo, который пользуется Ruby, а GitLab поставляет в комплекте как есть.
Уязвимость получила максимальные 10 баллов по CVSS и позволяет злоумышленнику без аутентификации выполнить произвольный код на сервере GitLab. В общем, дыра в безопасности (хоть что-то у нас в безопасности). Пора обновляться.
Разработчики GitLab выпустили патч 21 октября 2026 годаЖ
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/
Атака состоит из двух шагов и не требует аутентификации:
- Злоумышленник загружает вредоносный .org‑файл в любой проект, даже публичный, вход в систему при этом не нужен.
- Злоумышленник инициирует рендеринг этого файла.Запускается уязвимый движок регулярных выражений Onigmo.
Исправленные версии:
- 18.11.13
- 19.0.10
- 19.1.9
- 19.2.9
- 19.3.6
- 19.4.3
- 19.5.1
Для версий 18.10 и ниже исправлений нет.
