O GitLab publicou correções em 21 de outubro para uma falha que permite a um invasor executar código em um servidor autogerenciado sem fazer login. O problema afeta todas as versões do software desde a 7.0, lançada em 2014.
A correção é importante até para administradores que instalaram uma atualização nove dias antes. A atualização de 12 de outubro abrangia apenas as versões 19.2 e posteriores, e as versões corrigidas para esta falha avançam um número de patch em relação às contempladas naquela atualização. Por isso, uma instância atualizada naquela ocasião continuou vulnerável.
Identificada como CVE-2026-110264, a falha recebeu nota 10,0 na escala CVSS, a pontuação máxima. Segundo o GitLab, em determinadas condições, um usuário não autenticado poderia executar código arbitrário no servidor. O problema decorre de um estouro de inteiro durante a compilação de uma expressão regular especialmente elaborada.
O GitLab não informou quais são essas condições. A empresa afirma não ter indícios de que a falha tenha sido explorada em ataques. Em 22 de outubro, ela também não constava no catálogo da CISA dos Estados Unidos de vulnerabilidades sabidamente exploradas.
Apenas instalações autogerenciadas precisam agir. O GitLab.com já utiliza uma versão corrigida, e os clientes do GitLab Dedicated que usam as versões internas 19.3.5-internal0 e 19.4.2-internal0, ou posteriores, também já estão protegidos.
O GitLab corrigiu a falha em sete versões de uma só vez. A tabela abaixo relaciona cada linha de lançamento à versão que contém a correção.
| Se você usa | Atualize para |
|---|---|
| 19.5 anterior à 19.5.1 | 19.5.1 |
| 19.4 anterior à 19.4.3 | 19.4.3 |
| 19.3 anterior à 19.3.6 | 19.3.6 |
| 19.2 anterior à 19.2.9 | 19.2.9 |
| 19.1 anterior à 19.1.9 | 19.1.9 |
| 19.0 anterior à 19.0.10 | 19.0.10 |
| Da 7.0 à 18.11, anterior à 18.11.13 | 18.11.13 |
Quatro dessas versões são mais antigas do que aquelas que o GitLab costuma corrigir. A política da empresa prevê atualizações para a versão atual e as duas versões mensais anteriores, que, até o momento, são 19.5, 19.4 e 19.3.
O GitLab informou que também disponibilizou a correção nas versões 18.11.13, 19.0.10, 19.1.9 e 19.2.9, além dos lançamentos previstos pela política padrão. A empresa reserva essa medida para problemas graves.
A falha afeta versões tão antigas porque está em um componente do GitLab: o compilador de expressões regulares Onigmo, mecanismo integrado ao Ruby. O GitLab inclui esse componente em seus próprios pacotes e aplica alterações nas próprias compilações. Como a falha está nesse mecanismo, ela afeta todas as versões do GitLab que o incluíram, desde a 7.0.
A empresa também publicou duas regras de detecção para ajudar administradores de instalações autogerenciadas a procurar tentativas de exploração: “Onigmo native worker crash” e “Org mode render error burst”. As regras fazem parte do framework de código aberto TLDR e usam o formato Sigma para analisar os logs da própria aplicação do GitLab.
O GitLab não informou quais condições prévias permitem que um invasor alcance o compilador. Assim, os administradores ainda não podem descartar o risco com base na configuração. A correção é a única proteção garantida, e o comunicado da empresa não oferece uma solução temporária.
Esta é a quarta falha de execução de código no mecanismo de expressões regulares do GitLab reportada pelo mesmo pesquisador, que usa o nome joaxcar, em um mês. É também a primeira a afetar versões anteriores à 19.2.
Em 12 de outubro, o GitLab corrigiu a CVE-2026-97229, outra falha de estouro com nota 10,0 que permitia a execução de código sem autenticação no compilador de expressões regulares. A correção foi incluída nas versões 19.2.8, 19.3.5 e 19.4.2. Em 23 de setembro, a empresa corrigiu outras duas falhas,
CVE-2026-93577
e
CVE-2026-89078
. Ambas receberam nota 9,9 e exigiam uma conta autenticada. As três falhas anteriores afetavam versões a partir da 19.2; esta também alcança versões mais antigas.
A atualização de 21 de outubro corrige 11 problemas de segurança: um crítico e os demais classificados como altos, médios ou baixos.
Dois dos outros problemas envolvem autenticação. A CVE-2026-15723, classificada como alta, com nota 8,2, poderia permitir que um usuário autenticado assumisse o controle da conta de outra pessoa. Isso só seria possível se um administrador tivesse habilitado tanto o SAML quanto a vinculação automática de contas LDAP.
Outra falha, a CVE-2026-112212, envolve cache poisoning nos endpoints OAuth e OpenID Connect do GitLab. Classificada como alta, com nota 7,5, ela poderia permitir que um invasor redirecionasse determinados fluxos de autenticação para um servidor sob seu controle em ambientes que usam um cache compartilhado.
A atualização exige planejamento por causa de possíveis interrupções. As versões 19.4.3 e 19.3.6 incluem alterações no banco de dados que são executadas durante a atualização. Em um servidor de nó único, isso significa indisponibilidade até que o processo termine. Segundo o GitLab, instalações com vários nós podem aplicar a atualização sem interrupção, seguindo o procedimento da empresa para atualizações sem indisponibilidade.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...