CVE-2026-110264: Критична вразливість RCE в GitLab загрожує 12 рокам випусків

GitLab випустив термінові оновлення безпеки для вирішення CVE-2026-110264, вразливості максимальної тяжкості, яка може дозволити неавтентифікованому зловмиснику виконати довільний код на вразливих серверах самообслуговуваного GitLab. Помилка має CVSS оцінку 10.0 і вражає як GitLab Community Edition (CE), так і Enterprise Edition (EE).

Вразливість особливо примітна, оскільки постраждалий код походить ще з GitLab 7.0, випущеної у 2014 році. Це означає, що приблизно 12 років випусків GitLab були вразливими, хоча наразі немає доказів, що зловмисники експлуатували цю слабкість протягом цього періоду. GitLab розкрив проблему і випустив виправлені версії 21 жовтня 2026 року.

Вразливість походить від переповнення цілого числа, викликаного під час компіляції GitLab спеціально підготовленого регулярного виразу. За певних умов неавтентифікований зловмисник міг би скористатися цією умовою, щоб виконати довільний код на підлеглому сервері GitLab. GitLab навмисно не розкрив повний шлях експлуатації та специфічні передумови, поки адміністратори встановлюють виправлення.

Для організацій, що керують самообслуговуваною інфраструктурою GitLab, потенційний вплив є серйозним. Репозиторії GitLab часто містять вихідний код, конфігурацію CI/CD, секрети розгортання, токени доступу, визначення інфраструктури та з’єднання з виробничими середовищами. Компрометація на рівні сервера може створити можливості для крадіжки облікових даних, маніпуляцій з репозиторіями, атак на ланцюжок постачань, збереження стійкості або латерального руху.

Команди безпеки, які шукають можливості виявлення CVE-2026-110264, можуть використовувати AI-Native Detection Intelligence Platform від SOC Prime для посилення видимості експлуатації вразливостей та пов’язаних з нею поведінкових дій після компрометації у середовищах SIEM, EDR та Data Lake.

Натисніть Дослідити виявлення для доступу до відповідного контенту виявлення та логіки полювання. Щоб виявити спроби експлуатації CVE-2026-110264, захисники повинні співвіднести телеметрію додатка GitLab з виконанням процесу, ненормальною поведінкою сервера та новоствореною логікою виявлення загроз GitLab.

Практики безпеки також можуть використовувати Prime Architect для перетворення нової інформації про вразливості у правила Sigma та запити полювання, перевірки логіки виявлення, генерування відповідних Attack Flows та перекладу контенту виявлення на підтримувані платформи безпеки.

Зв’язатися з відділом продажів

Аналіз CVE-2026-110264

GitLab описує вразливість як переповнення цілих чисел у компіляторі регулярних виразів. За певних умов компіляція спеціально підготовленого регулярного виразу може призвести до довільного виконання коду на сервері GitLab без автентифікації.

GitLab присвоїв цій вразливості максимальну оцінку CVSS v3.1 на рівні 10.0, з вектором CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Це відображає вразливість, доступну через мережу, з низькою складністю атаки, без необхідності привілеїв і без інтерфейсу користувача, з потенційно високим впливом на конфіденційність, цілісність та доступність.

Дослідник безпеки joaxcar виявив і повідомив про вразливість через програму винагород HackerOne від GitLab. Примітки до випусків GitLab також містять посилання на виправлення обробки регулярних виразів у Ruby, тоді як звіти вказують на те, що базовий постраждалий рушій – це Onigmo, реалізація регулярних виразів у Ruby, інтегрована в пакети GitLab.

CVE-2026-110264 впливає на GitLab CE та EE на незвичайно широкому діапазоні версій:

• GitLab 7.0 через версії до 18.11.13
• GitLab 19.0 перед 19.0.10
• GitLab 19.1 перед 19.1.9
• GitLab 19.2 перед 19.2.9
• GitLab 19.3 перед 19.3.6
• GitLab 19.4 перед 19.4.3
• GitLab 19.5 перед 19.5.1

GitLab переніс виправлення до 18.11.13, 19.0.10, 19.1.9 та 19.2.9 на додаток до підтримуваних патч-повітря, через тяжкість і незвичайну масштабність.

Тривалий вразливий вікно не означає, що уразливість активувалася з 2014 року. Швидше, вразливість регулярних виразів існувала у випусках, починаючи з GitLab 7.0. Ані GitLab, ані два подані звіти не підтвердили експлуатації у реальних атаках станом на 22 жовтня 2026 року.

Цю вразливість також не слід плутати з CVE-2026-97229, ще однією критичною вразливістю віддаленого виконання коду GitLab, пов’язаною з обробкою регулярних виразів, яка була виправлена раніше в жовтні. Ця проблема стосувалася вужчого діапазону останніх версій. Установка виправлень від 12 жовтня для цієї вразливості автоматично не захищає системи від недавньо розкритої уразливості.

Адміністратори, які нещодавно оновили GitLab, повинні перевірити свою точну встановлену збірку, а не припускати, що попередній жовтневий реліз безпеки забезпечує достатній захист.

Наразі доступні деталі для CVE-2026-110264 не розкривають точний вхід, контрольований зловмисником, кінцеву точку, особливість чи умови, необхідні для досягнення вразливого компілятора регулярних виразів. GitLab зазвичай робить детальні питання безпеки публічними через 90 днів після випуску з виправленням, зменшуючи негайну доступність зловмисливої технічної інформації, поки клієнти встановлюють виправлення.

Жоден публічний CVE-2026-110264 PoC не було розкрито у поданих звітах або повідомленні про GitLab. Новини з кібербезпеки спеціально вказують, що GitLab не опублікував публічний експлойт, у той час як компанія обмежила розкриття повного шляху атаки.

Водночас відсутність публічного підтвердження концепції не слід розглядати як низького рівня ризику. Вразливість, до якої можна дистанційно дістатися без автентифікації з рейтингом CVSS 10.0, є привабливою ціллю, зокрема тому, що самообслуговувані сервери GitLab часто відкриті для Інтернету.

Наразі немає кампанійних характеристик CVE-2026-110264, таких як шкідливі IP-адреси, домени, хеші завантаження або підтверджені шаблони запитів на експлуатацію, оскільки ані GitLab, ані згадані дослідники безпеки не повідомили про активну експлуатацію.

Однак GitLab опублікував два виявлення загроз, які можна використовувати для ідентифікації можливих експлуатаційних спроб на самообслуговуваних встановленнях:

• Фатальна помилка робочого процесу Onigmo
• Сплеск помилки рендерингу режиму Org

Ці виявлення призначені для ідентифікації підозрілої поведінки, пов’язаної зі спробами активувати вразливість. Їх наявність не свідчить сама по собі про успішну компрометацію і повинна співвідноситися з ширшою телеметрією додатку і кінцевих точок.

Команди безпеки повинні розслідувати неочікувані збої додатків GitLab, сплески помилок рендерингу, аномальні процеси, що походять з компонентів GitLab або Ruby, несподіване виконання командної оболонки, новостворені механізми збереження стійкості і вихідні з’єднання з серверів GitLab, що відхиляються від нормальної операційної практики.

Пом’якшення CVE-2026-110264

GitLab настійно рекомендує всім організаціям, що експлуатують постраждалі самообслуговувані встановлення, негайно оновити їх. Фіксовані версії такі:

GitLab.com вже оновлено. Орендарі GitLab Dedicated, що працюють на внутрішніх версіях 19.3.5-internal0, 19.4.2-internal0 або пізніше, вже містять необхідні виправлення і не потребують додаткових дій для цієї вразливості.

Клієнти самообслуговування не повинні відкладати усунення проблеми, поки чекають додаткових деталей експлуатації. GitLab не опублікував альтернативне рішення, яке надає еквівалентний захист, тому встановлення виправленої версії є надійним шляхом вирішення.

Перед оновленням адміністратори повинні переглянути документацію з оновлення GitLab та врахувати міграції бази даних. GitLab попереджає, що одномодові розгортання можуть зазнати простоїв під час завершення міграцій, тоді як належним чином налаштовані багатомодові середовища можуть слідувати процесу оновлення без простоїв від постачальника. Версії 19.3.6 і 19.4.3 містять звичайні міграції, а 19.4.3 також включає післярозгорткову міграцію.

Після встановлення виправлення команди безпеки повинні проводити ретроспективний аналіз, а не розглядати саме оновлення як доказ того, що сервер ніколи не був ціллю. Перевірте журнали додатків GitLab на наявність двох індикаторів експлуатації, опублікованих GitLab, та досліджуйте підозрілу активність, що передувала оновленню.

Захисники також повинні перевірити телеметрію операційної системи на наявність:

• Неочікувані дочірні процеси, що походять від GitLab, Ruby або пов’язаних робочих процесів
• Виконання командної оболонки або інтерпретатора скриптів під обліковими записами сервісів GitLab
• Нові ключі SSH або управлінські облікові записи
• Неочікувані зміни у репозиторіях або CI/CD конвеєрах
• Нещодавно створені заплановані завдання або механізми стійкості
• Зміни у бігунах, токенах розгортання, особистих токенах доступу та токенах доступу до проектів
• Незвичайні вихідні з’єднання з серверу GitLab
• Неконтрольований доступ до секретів, що зберігаються у змінних CI/CD
• Неочікувані зміни у пакетах, випусках або репозиторіях

Якщо підозрюється компрометація, організації повинні ізолювати сервер, зберегти журнали і артефакти для судової експертизи, обернути можливі підозрілі облікові дані і токени, та перевірити цілісність репозиторіїв і робочих процесів CI/CD перед поверненням інстанції у продуктивність.

Оскільки встановлення GitLab часто діє як довірена інфраструктура в межах трубопроводів розробки програмного забезпечення, реагуючи, слід також визначити, чи не міг зловмисник змінити вихідний код, артефакти, контейнерні образи, шаблони інфраструктури як код або робочі процеси розгортання. Компрометований сервер GitLab може створити ризик для ланцюжка постачань, навіть коли оригінальний сервер виключено.

AI-Native Detection Intelligence Platform від SOC Prime може допомогти організаціям посилити свою виявленню позицію проти експлуатації нових вразливостей, надаючи постійно оновлюваний контент виявлення, що базується на поведінці, з відображенням на MITRE ATT&CK®.

Відмова від відповідальності: Контент для виявлення може бути недоступним для кожної CVE. Перевірте платформу SOC Prime для отримання актуального охоплення. Якщо відповідні виявлення ще недоступні, перевіряйте, оскільки постійно додається нова аналітична інформація і контент для виявлення.