Vulnerabilidade crítica no Gitlab afeta versões dos últimos 12 anos
O GitLab lançou, em 21 de outubro de 2026, atualizações de segurança para corrigir uma vulnerabilidade crítica que pode permitir a execução remota de código (RCE) sem autenticação. A falha, identificada como CVE-2026-110264, recebeu pontuação máxima de 10,0 no CVSS e afeta versões do GitLab Community Edition (CE) e Enterprise Edition (EE) lançadas desde 2014.
O problema está presente desde a versão 7.0 e representa um risco para instalações autogerenciadas da plataforma. Mesmo administradores que aplicaram as correções disponibilizadas em 12 de outubro precisam atualizar novamente seus ambientes, pois os patches anteriores não corrigem essa vulnerabilidade.
De acordo com o comunicado do GitLab, a falha envolve um integer overflow (estouro de inteiro) durante a compilação de uma expressão regular especialmente manipulada. Em determinadas condições, essa condição pode permitir que um invasor execute código arbitrário no servidor sem possuir uma conta válida.
A vulnerabilidade está relacionada ao Onigmo, mecanismo de processamento de expressões regulares utilizado pelo Ruby e incorporado aos pacotes distribuídos pelo GitLab. Como esse componente acompanha a plataforma há mais de uma década, a exposição alcança um conjunto amplo de versões.
O GitLab ainda não detalhou as condições específicas necessárias para explorar a falha. Também não há confirmação de ataques explorando a CVE-2026-110264 até o momento da divulgação.
Versões corrigidas do GitLab
A empresa disponibilizou sete versões com a correção de segurança:
Versões afetadas | Versão corrigida |
19.5 anteriores à 19.5.1 | 19.5.1 |
19.4 anteriores à 19.4.3 | 19.4.3 |
19.3 anteriores à 19.3.6 | 19.3.6 |
19.2 anteriores à 19.2.9 | 19.2.9 |
19.1 anteriores à 19.1.9 | 19.1.9 |
19.0 anteriores à 19.0.10 | 19.0.10 |
7.0 até versões anteriores à 18.11.13 | 18.11.13 ou versão posterior corrigida |
Quatro dessas atualizações foram disponibilizadas excepcionalmente para versões fora da política habitual de manutenção, que normalmente contempla a versão atual e as duas anteriores. As correções adicionais foram aplicadas às versões 18.11.13, 19.0.10, 19.1.9 e 19.2.9. Instalações muito antigas devem observar os caminhos de atualização exigidos pelo GitLab.
GitLab Docs
As instalações do GitLab.com já estão protegidas. Clientes do GitLab Dedicated que utilizam as versões internas 19.3.5-internal0 e 19.4.2-internal0, ou posteriores, também receberam as correções.
Para auxiliar na identificação de possíveis tentativas de exploração, o GitLab publicou duas regras de detecção: "Onigmo native worker crash" e "Org mode render error burst". Ambas integram o framework de código aberto TLDR e utilizam regras no formato Sigma para analisar registros da aplicação.
Como as condições necessárias para alcançar o componente vulnerável não foram detalhadas, os administradores não podem descartar a exposição apenas com base na configuração dos servidores. A empresa também não apresentou uma solução temporária que substitua a atualização.
Quarta falha de execução de código identificada em um mês
A CVE-2026-110264 é a quarta vulnerabilidade relacionada à execução de código no mecanismo de expressões regulares do GitLab relatada pelo pesquisador conhecido como joaxcar em aproximadamente um mês.
Em 12 de outubro, a empresa corrigiu a CVE-2026-97229, também classificada com CVSS 10,0 e capaz de permitir execução de código sem autenticação, nas versões 19.2.8, 19.3.5 e 19.4.2.
Anteriormente, em 23 de setembro, foram corrigidas as vulnerabilidades CVE-2026-93577 e CVE-2026-89078, ambas com pontuação 9,9 e exploração condicionada à autenticação. Diferentemente dessas três falhas, a CVE-2026-110264 também afeta versões anteriores à linha 19.2.
Atualização também corrige falhas de autenticação
O pacote de 21 de outubro reúne correções para 12 vulnerabilidades, incluindo a falha crítica e outros problemas classificados com severidade alta, média ou baixa, conforme o comunicado oficial.
Entre elas está a CVE-2026-15723, com pontuação 8,2, que pode permitir a um usuário autenticado assumir outra conta quando os recursos de vinculação automática de identidades SAML e LDAP estão simultaneamente habilitados.
Outra vulnerabilidade, CVE-2026-112212, classificada com pontuação 7,5, envolve envenenamento de cache nos endpoints OAuth e OpenID Connect. Em determinadas configurações com cache compartilhado, um invasor pode manipular fluxos de autenticação para redirecioná-los a servidores sob seu controle.
A aplicação das atualizações também exige planejamento operacional. As versões 19.4.3 e 19.3.6 incluem migrações de banco de dados que podem provocar indisponibilidade durante a atualização de instalações com um único nó.
Segundo o GitLab, ambientes distribuídos em múltiplos nós podem aplicar as correções sem interrupção, desde que utilizem o procedimento de atualização sem indisponibilidade (zero-downtime upgrade).
