O GitLab lançou em 21 de outubro de 2026 uma atualização crítica que corrige a CVE-2026-110264, falha com nota máxima no CVSS, 10.0. Ela pode permitir que um atacante sem autenticação execute código no servidor, e afeta todas as versões do GitLab CE/EE desde a 7.0 (GitLab), lançada em 2014
O que é a vulnerabilidade
A falha é um estouro de inteiro (integer overflow) na compilação de uma expressão regular maliciosa. Em certas condições, isso permite executar código arbitrário no servidor (GitLab). O problema está no Onigmo, o motor de expressões regulares do Ruby que o GitLab empacota e modifica nas próprias versões. Por isso, a falha está presente em todas as versões desde a 7.0 .
O GitLab não informou quais são essas “certas condições” nem ofereceu medida paliativa. Ou seja, não dá para descartar o risco olhando a configuração: a atualização é a única proteção garantida. Até 22 de outubro, não havia sinal de exploração ativa, e a falha não estava no catálogo de vulnerabilidades exploradas da CISA (The Hacker News).
Atualizou em 12 de outubro? Precisa atualizar de novo
Esta é a quarta falha de execução de código no motor de regex do GitLab relatada pelo mesmo pesquisador, conhecido como joaxcar, em um mês. A atualização de 12 de outubro corrigiu a CVE-2026-97229, também nota 10, mas as versões corrigidas agora estão um patch acima daquelas. Quem atualizou há nove dias está vulnerável de novo (The Hacker News).
Versões corrigidas
| Se você roda | Atualize para |
|---|---|
| 19.5 antes da 19.5.1 | 19.5.1 |
| 19.4 antes da 19.4.3 | 19.4.3 |
| 19.3 antes da 19.3.6 | 19.3.6 |
| 19.2 antes da 19.2.9 | 19.2.9 |
| 19.1 antes da 19.1.9 | 19.1.9 |
| 19.0 antes da 19.0.10 | 19.0.10 |
| 7.0 até 18.11, antes da 18.11.13 | 18.11.13 |
Fonte: GitLab
Pela gravidade, o GitLab levou a correção até as versões 18.11, 19.0, 19.1 e 19.2, que normalmente já não recebem atualizações (GitLab, The Hacker News).
Só instalações self-managed precisam agir. O GitLab.com já roda a versão corrigida, e os clientes do GitLab Dedicated nas versões 19.3.5-internal0 e 19.4.2-internal0 ou superiores já estão protegidos
Outras falhas corrigidas
A mesma atualização corrige outras 11 falhas. As duas mais graves:
- CVE-2026-15723 (CVSS 8.2): um usuário logado pode assumir outra conta, mas só quando o administrador ativou o vínculo automático com SAML e com LDAP (The Hacker News).
- CVE-2026-112212 (CVSS 7.5): uma falha de envenenamento de cache nos endpoints de OAuth/OIDC pode permitir que um atacante redirecione alguns fluxos de login para um servidor dele, em ambientes com cache compartilhado (The Hacker News).
Recomendações de segurança
- Atualizar o GitLab self-managed imediatamente para a versão corrigida do seu ramo, mesmo que você tenha atualizado em 12 de outubro.
- Planejar indisponibilidade: as versões 19.4.3 e 19.3.6 rodam migrações de banco de dados durante a atualização, o que derruba servidores de nó único até o fim do processo. Ambientes com vários nós podem usar o procedimento de atualização sem downtime (The Hacker News).
- Usar as duas regras de detecção publicadas pelo GitLab, “Onigmo native worker crash” e “Org mode render error burst”, para procurar tentativas de exploração nos logs (GitLab).
- Quem roda versões antigas, abaixo da 18.11, deve aproveitar para planejar a migração para um ramo com suporte regular.
Referências
- GitLab — Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
- The Hacker News — Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases
- CVE.org — CVE-2026-110264
Conclusão: uma falha com nota 10, sem necessidade de login e presente em 12 anos de versões coloca qualquer GitLab self-managed exposto à internet no topo da lista de prioridades. Como não há medida paliativa nem detalhes sobre as condições de exploração, atualize hoje, inclusive se você já tinha atualizado em 12 de outubro.
