GitLab 19.5.1: nouă RCE fără autentificare, CVE-2026-110264

Pe 21 octombrie 2026, GitLab a publicat patch release-ul 19.5.1 pentru GitLab Community Edition (CE) și Enterprise Edition (EE). Potrivit avizului 2026-019 al CERT-EU, publicat pe 22 octombrie, actualizările corectează o vulnerabilitate critică, CVE-2026-110264, cu scor CVSS 10, care poate permite unui utilizator neautentificat să execute cod arbitrar pe serverul GitLab, precum și alte 11 vulnerabilități. În aceeași zi, NCSC-NL din Țările de Jos a publicat avizul NCSC-2026-0447 despre vulnerabilitățile corectate în GitLab.

În octombrie, ARX News a tratat CVE-2026-97229, tot cu scor CVSS 10, corectată în versiunile 19.4.2, 19.3.5 și 19.2.8. Acele versiuni intră în intervalele afectate de noua vulnerabilitate: dacă le-ai instalat, trebuie să actualizezi din nou.

Ce s-a întâmplat

Potrivit CERT-EU, CVE-2026-110264 este un integer overflow (depășire de întreg) în compilatorul de expresii regulate al GitLab, care poate permite unui utilizator neautentificat să execute cod arbitrar pe serverul afectat. Avizul nu descrie în detaliu vectorul de atac sau condițiile de exploatare și nu precizează dacă vulnerabilitatea este deja exploatată în atacuri reale.

Și CVE-2026-97229, din 12 octombrie, era, potrivit CERT-EU, un integer overflow în compilatorul de expresii regulate, în acel caz cel pentru CI/CD. Avizul din 22 octombrie nu spune dacă cele două vulnerabilități sunt legate.

CERT-EU recomandă actualizarea cât mai rapidă a instanțelor afectate, începând cu cele expuse pe Internet, și o evaluare a compromiterii pentru a identifica eventualele sisteme deja compromise.

Textul avizului NCSC-NL nu era disponibil la momentul redactării. În titlu, NCSC-NL îl clasifică „M/H”: pe scara sa, probabilitate medie și daune mari.

Detalii tehnice

• CVE-2026-110264: CVSS 10, integer overflow în compilatorul de expresii regulate; execuție de cod arbitrar fără autentificare.
• Alte corecții: potrivit CERT-EU, GitLab a corectat și 2 vulnerabilități de severitate ridicată, 5 de severitate medie și 4 de severitate scăzută. Avizul nu le indică identificatorii sau descrierea și trimite la buletinul GitLab pentru patch release-ul 19.5.1.
• MITRE ATT&CK: exploatarea unui serviciu expus fără autentificare corespunde tehnicii T1190 (Exploit Public-Facing Application).

Versiuni afectate de CVE-2026-110264, GitLab CE și EE, potrivit CERT-EU:

• de la 7.0 până la 18.11.13, exclusiv;
• 19.0 anterioare versiunii 19.0.10;
• 19.1 anterioare versiunii 19.1.9;
• 19.2 anterioare versiunii 19.2.9;
• 19.3 anterioare versiunii 19.3.6;
• 19.4 anterioare versiunii 19.4.3;
• 19.5 anterioare versiunii 19.5.1.

Primele versiuni neafectate pentru fiecare ramură: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 și 19.5.1. Acum există un prag și pentru ramura 19.1, pentru care avizele din 12 octombrie nu indicau niciunul.

Detectare

Potrivit CERT-EU, GitLab a publicat două reguli de detectare pentru identificarea încercărilor de exploatare, în depozitul său public gitlab-security-oss/tldr:

• onigmo_native_worker_crash;
• org_mode_render_error_burst.

Avizul nu le descrie conținutul: consultă-le în depozitul GitLab și aplică-le pe jurnalele instanțelor tale. Niciuna dintre surse nu publică indicatori de compromitere.

Impactul pentru companiile europene și italiene

Așa cum am scris în articolele anterioare, un server GitLab păstrează de obicei cod sursă, configurațiile pipeline-urilor și credențiale pentru integrări. Intervalul indicat de CERT-EU începe de la versiunea 7.0: privește deci toate instalările CE și EE care nu au încă una dintre versiunile din 21 octombrie.

Este a treia vulnerabilitate GitLab cu scor CVSS 10 tratată de ARX News în puțin peste o lună, după CVE-2026-85706 din septembrie și CVE-2026-97229 din octombrie. Cine administrează instanțe GitLab trebuie să ia în calcul actualizări foarte apropiate, în afara ciclului obișnuit de patch-uri.

Pentru entitățile care intră sub incidența NIS2, gestionarea vulnerabilităților și securitatea lanțului de aprovizionare software fac parte din măsurile cerute. În cazul unui incident semnificativ, în Italia notificarea se face către CSIRT Italia al ACN.

Ce să faci acum

1. Inventar: identifică toate instanțele GitLab CE și EE, cu versiunea lor, și verifică care sunt accesibile de pe Internet.
2. Actualizează: adu fiecare instanță cel puțin la prima versiune neafectată a ramurii sale (18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 sau 19.5.1), începând cu cele expuse pe Internet, așa cum recomandă CERT-EU. Este valabil și pentru instanțele actualizate în octombrie la 19.4.2, 19.3.5 sau 19.2.8.
3. Evaluarea compromiterii: aplică cele două reguli de detectare ale GitLab pe jurnale, începând cu instanțele expuse.
4. Consultă buletinul GitLab pentru patch release-ul 19.5.1, pentru detaliile celorlalte 11 vulnerabilități.
5. Dacă găsești activitate suspectă: consideră serverul expus, înlocuiește secretele folosite de pipeline-uri și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o instanță GitLab este accesibilă din exterior. ARX Shield listează vulnerabilitățile deschise de pe mașinile monitorizate. ARX Sentry colectează jurnale și evenimente de pe serverele pe care este instalat agentul și verifică integritatea fișierelor din folderele stabilite. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților.

Ultima actualizare: 22 octombrie 2026