Критическая уязвимость целочисленного переполнения в GitLab (CVE-2026-110264)
В GitLab CE/EE обнаружена уязвимость целочисленного переполнения при компиляции специально созданного регулярного выражения. При определённых условиях неаутентифицированный пользователь может выполнить произвольный код на сервере GitLab. Уязвимость оценена по CVSS в 10 баллов — максимальный уровень критичности.
Подробности
Уязвимость затрагивает все версии GitLab CE/EE начиная с 7.0 и до 18.11.13, а также ветки 19.0 (до 19.0.10), 19.1 (до 19.1.9), 19.2 (до 19.2.9), 19.3 (до 19.3.6), 19.4 (до 19.4.3) и 19.5 (до 19.5.1). По описанию CVE, при определённых условиях эксплуатация позволяет неаутентифицированному пользователю выполнить произвольный код на сервере GitLab. Причина — целочисленное переполнение при компиляции специально созданного регулярного выражения. Учитывая максимальный балл CVSS и отсутствие требования аутентификации, уязвимость представляет серьёзную угрозу для инфраструктур, использующих затронутые версии GitLab.Что делать
Рекомендуется как можно скорее обновить GitLab до исправленных версий: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 или 19.5.1 — в зависимости от используемой ветки. Поскольку уязвимость может эксплуатироваться без аутентификации, откладывать обновление не следует. До установки патча целесообразно ограничить сетевой доступ к веб-интерфейсу GitLab (например, средствами межсетевого экранирования или списков разрешённых адресов), а также усилить мониторинг подозрительной активности на сервере. Дополнительные митигации и официальные инструкции следует уточнять в рекомендациях производителя.Итог
CVE-2026-110264 — критическая уязвимость в GitLab CE/EE, допускающая удалённое выполнение произвольного кода неаутентифицированным пользователем. Единственным надёжным способом защиты является установка обновления до исправленной версии; до этого необходимо минимизировать поверхность атаки и внимательно следить за активностью на сервере.Источник: CVE Project (cvelistV5)