A plataforma de desenvolvimento de software GitLab lançou atualizações de segurança urgentes para corrigir uma vulnerabilidade de alta gravidade no motor de compilação de expressões regulares (Regular Expression Compiler), que permite que atacantes não autenticados executem código arbitrário remotamente em servidores vulneráveis.
A vulnerabilidade possui o identificador CVE-2026-110264 e foi descoberta por um pesquisador de segurança conhecido pelo pseudônimo joaxcar por meio do programa de recompensa por bugs na plataforma HackerOne. O problema de segurança surge devido a um erro de estouro de inteiro (integer overflow) dentro do motor de expressões regulares de back-end, que lida com a análise e validação de expressões regulares em arquivos de configuração.
Versões afetadas e soluções necessárias
A empresa corrigiu a falha nas edições Community (CE) e Enterprise (EE) do GitLab nas versões 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13. A empresa alertou todos os usuários e administradores sobre a necessidade de atualização imediata para evitar riscos.
A empresa esclareceu que a plataforma GitLab.com já possui a versão atualizada, enquanto os assinantes do GitLab Dedicated receberam as atualizações nas versões posteriores à 19.3.5-internal0 e 19.4.2-internal0, sem a necessidade de ações adicionais.
Por que esta notícia é importante?
Esta vulnerabilidade destaca os riscos crescentes associados aos componentes de análise de expressões regulares em plataformas de desenvolvimento populares, já que relatórios da rede de monitoramento de ameaças Shadowserver indicam a existência de mais de 2.700 servidores comunitários do GitLab expostos na internet. Esta vulnerabilidade ganha gravidade adicional por surgir pouco tempo após a detecção de outras falhas críticas na mesma plataforma, incluindo a vulnerabilidade registrada sob o número CVE-2026-97229, também associada ao motor de expressões regulares em sistemas de integração contínua e entrega contínua (CI/CD), e a falha anterior CVE-2026-85706, que foi explorada pela agência de segurança cibernética dos EUA, CISA, em ataques reais.