Платформа разработки программного обеспечения GitLab выпустила срочные обновления безопасности для устранения критической уязвимости в компиляторе регулярных выражений (Regular Expression Compiler), которая позволяет неавторизованным злоумышленникам выполнять произвольный удаленный код на уязвимых серверах.
Уязвимость имеет идентификатор CVE-2026-110264 и была обнаружена исследователем безопасности под псевдонимом joaxcar через программу вознаграждения за ошибки на платформе HackerOne. Проблема безопасности возникает из-за ошибки переполнения целого числа (integer overflow) внутри бэкенд-компилятора регулярных выражений, который отвечает за анализ и проверку регулярных выражений в конфигурационных файлах.
Затронутые версии и необходимые решения
Компания исправила дефект в версиях GitLab Community Edition (CE) и Enterprise Edition (EE) под номерами 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Компания предупредила всех пользователей и администраторов о необходимости немедленного обновления во избежание рисков.
Компания пояснила, что платформа GitLab.com уже имеет обновленную версию, в то время как подписчики GitLab Dedicated получили обновления в версиях после 19.3.5-internal0 и 19.4.2-internal0 без необходимости предпринимать дополнительные действия.
Почему это важно?
Эта уязвимость подчеркивает растущие риски, связанные с компонентами анализа регулярных выражений в популярных платформах разработки, поскольку отчеты сети мониторинга угроз Shadowserver указывают на наличие более 2700 серверов GitLab Community, доступных в Интернете. Данная уязвимость приобретает дополнительную серьезность, так как она обнаружена вскоре после выявления других критических уязвимостей в той же платформе, включая уязвимость CVE-2026-97229, также связанную с движком регулярных выражений в системах непрерывной интеграции и непрерывной доставки (CI/CD), и предыдущую уязвимость CVE-2026-85706, которую Агентство по кибербезопасности и инфраструктуре США (CISA) использовало в реальных атаках.