GitLab bracht op 21 oktober patches uit voor een kwetsbaarheid die een aanvaller zonder in te loggen code laat uitvoeren op een zelfbeheerde server; de fout treft elke versie van de software teruggaand tot 7.0, uitgebracht in 2014.
De fix is ook relevant voor beheerders die negen dagen eerder gepatcht hadden: de update van 12 oktober dekte alleen versies 19.2 en later, en de nieuw uitgegeven gefixte versies liggen één patch hoger, dus een instantie die toen was bijgewerkt valt nu weer binnen het bereik.
De fout, geregistreerd als CVE-2026-110264, heeft een CVSS-score van 10.0, het maximale. GitLab zegt dat het—onder bepaalde omstandigheden—een niet-geauthenticeerde gebruiker in staat kan stellen om willekeurige code op de server uit te voeren door een integer overflow tijdens het compileren van een speciaal vervaardigde reguliere expressie. GitLab heeft die omstandigheden niet nader gespecificeerd.
Het bedrijf meldt geen aanwijzingen dat de kwetsbaarheid reeds bij aanvallen is misbruikt, en deze staat per 22 oktober niet in de CISA-catalogus van bekende geëxploiteerde kwetsbaarheden.
Alleen zelfbeheerde installaties hoeven actie te ondernemen. GitLab.com draait al de gefixeerde versie, en GitLab Dedicated-tenants op de interne releases 19.3.5-internal0 en 19.4.2-internal0 of later hebben de fix al. GitLab heeft de fout in zeven versies tegelijk opgelost.
De onderstaande tabel koppelt elke release-branch aan de versie die het verhelpt.
| Als u draait | Upgrade naar |
|---|---|
| 19.5 vóór 19.5.1 | 19.5.1 |
| 19.4 vóór 19.4.3 | 19.4.3 |
| 19.3 vóór 19.3.6 | 19.3.6 |
| 19.2 vóór 19.2.9 | 19.2.9 |
| 19.1 vóór 19.1.9 | 19.1.9 |
| 19.0 vóór 19.0.10 | 19.0.10 |
| 7.0 tot en met 18.11, vóór 18.11.13 | 18.11.13 |
Vier van die versies vallen buiten de normale ondersteuning van GitLab. Het beleid van het bedrijf dekt de huidige release en de voorgaande twee maandelijkse releases, die op dit moment 19.5, 19.4 en 19.3 zijn.
GitLab zegt dat het deze fix bovenop zijn standaardreleases heeft teruggeporteerd naar 18.11.13, 19.0.10, 19.1.9 en 19.2.9 — een maatregel die het alleen voor ernstige problemen toepast.
De reden dat de kwetsbaarheid zo ver terugreikt, ligt in het onderdeel van GitLab dat faalde. De compiler voor reguliere expressies is Rubys ingebouwde engine, genaamd Onigmo, die GitLab in zijn eigen pakketten meelevert en in eigen builds patched. Een zwakte in die engine zit in elke release waarin GitLab deze heeft geleverd, dus in elke uitgave sinds 7.0.
GitLab heeft ook twee detectieregels gepubliceerd om zelfbeheerde beheerders te helpen bij het zoeken naar pogingen tot exploitatie, met de namen “Onigmo native worker crash” en “Org mode render error burst.” Ze maken deel uit van het open-source TLDR-framework van het bedrijf, dat elke detectie in het Sigma-formaat schrijft voor GitLabs eigen applicatielogs.
GitLab heeft niet aangegeven welke voorwaardes een aanvaller nodig heeft om de compiler te bereiken, dus beheerders kunnen zichzelf nog niet uitsluiten via configuratie; de patch is de enige zekere bescherming en het advisory geeft geen tijdelijke workaround.
Dit is de vierde code-uitvoeringskwetsbaarheid in GitLabs engine voor reguliere expressies die dezelfde onderzoeker (die het pseudoniem joaxcar gebruikt) in een maand heeft gemeld, en de eerste die versies voor 19.2 raakt.
Op 12 oktober repareerde GitLab CVE-2026-97229, eveneens een niet-geauthenticeerde overflow in de regex-compiler met score 10.0, in de versies 19.2.8, 19.3.5 en 19.4.2. Op 23 september werden twee eerdere kwetsbaarheden verholpen, CVE-2026-93577 en CVE-2026-89078, beide met score 9.9 maar waarvoor een ingelogd account vereist was. Die drie eerdere problemen stopten bij versie 19.2; deze doet dat niet.
De uitgave van 21 oktober verhelpt in totaal 11 beveiligingsissues, waarvan één kritiek en de overige hoog, medium of laag.
Twee van de andere kwetsbaarheden betreffen authenticatie. CVE-2026-15723, met een hoge score van 8.2, kan een ingelogde gebruiker in staat stellen een ander account over te nemen, maar alleen wanneer een beheerder zowel SAML als LDAP-auto-linking heeft ingeschakeld.
Een cache-poisoning-kwetsbaarheid in GitLabs OAuth- en OpenID Connect-eindpunten, CVE-2026-112212, met een hoge score van 7.5, kan een aanvaller in bepaalde configuraties die een gedeelde cache gebruiken toestaan om bepaalde aanmeldstromen om te leiden naar een server onder zijn controle.
De upgrade vereist planning. De releases 19.4.3 en 19.3.6 bevatten databasewijzigingen die tijdens de upgrade worden uitgevoerd, wat op een single-node server downtime betekent totdat ze klaar zijn. GitLab zegt dat multi-node-opstellingen de patch kunnen toepassen zonder downtime met behulp van de zero-downtime-procedure.
