GitLab åtgärdar kodkörningsbrist med högsta allvarlighetsgrad

GitLab har släppt säkerhetsuppdateringar för en brist med högsta allvarlighetsgrad i Regular Expression Compiler. Den kan låta angripare på distans köra godtycklig kod på sårbara servrar.

Sårbarheten spåras som CVE-2026-110264 och beror på ett heltalsöverslag när ett särskilt utformat reguljärt uttryck kompileras. GitLab uppgav att en obehörig användare under vissa omständigheter skulle kunna köra kod på servern. En säkerhetsforskare med aliaset ”joaxcar” rapporterade bristen via GitLabs belöningsprogram för buggar på HackerOne.

GitLab har åtgärdat problemet i Community Edition (CE) och Enterprise Edition (EE), versionerna 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 och 18.11.13, och uppmanade berörda installationer att uppgradera. GitLab.com kör redan en uppdaterad version. Även GitLab Dedicated-kunder med 19.3.5-internal0 och 19.4.2-internal0 eller senare har fått korrigeringarna, enligt företaget.

Shadowserver spårar fler än 2 700 GitLab CE-instanser som är exponerade på nätet. Tjänsten uppger inte hur många som är honeypots eller redan har säkrats.

Avslöjandet kommer tio dagar efter att GitLab varnade kunder för en annan kritisk brist i Regular Expression Compiler, CVE-2026-97229. Förra månaden åtgärdade GitLab CVE-2026-85706, en brist med högsta allvarlighetsgrad som kunde låta obehöriga angripare läsa känsliga uppgifter. CISA lade till sårbarheten på sin lista över aktivt utnyttjade brister en dag senare och gav federala myndigheter tre dagar att säkra sina system.