GitLab CVE-2026-110264: регулярное выражение и оценка 10 из 10

У многих компаний GitLab стоит «для своих»: репозитории, CI, иногда ещё и вики с паролями в старых тикетах. 21 октября вышли патчи для CVE-2026-110264. Целочисленное переполнение в компиляторе регулярных выражений Onigmo. Оценка 10.0. Аутентификация не требуется. GitLab.com уже обновлён. Свой сервер обновляется только вашими руками.

Кого это касается

Community и Enterprise, начиная с очень старых 7.x и до сборок, которые вышли прямо перед патчем. Закрыто в 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1. Важная ловушка: 19.2.8, которой 12 октября закрыли другую критическую ошибку в CI, для этой всё ещё уязвима. Два патча за девять дней - это два разных бага, а не «мы уже обновлялись в октябре».

Что это значит без жаргона

GitLab принимает регулярное выражение там, где его не должен принимать посторонний. Ошибка в разборе выражения даёт выполнение кода на сервере. Дальше у атакующего то, что лежит в инстансе: исходники, переменные CI, ключи деплоя. Для команды из десяти человек это часто больнее, чем дыра на маркетинговом сайте, потому что из GitLab раскатывается прод.

В том же цикле GitLab закрыл и менее громкие вещи: привязку через OmniAuth LDAP и отравление кэша OAuth. Их не нужно смешивать с оценкой 10, но откладывать «на следующий квартал» тоже незачем. Обновление одной версии закрывает пачку. Runner и образы CI этой заметкой не обновляются: у них свой список доверенных сертификатов, про него отдельно.

Что сделать

• Посмотреть версию в админке, не в памяти. Если она ниже строк выше - обновлять, не ждать окна «через две недели».
• Если инстанс торчит в интернет без нужды, после патча убрать его за доступ для сотрудников. Патч не отменяет лишнюю публикацию.
• Проверить, не появлялись ли новые администраторы и странные CI-задания до обновления. Исправление не пишет историю задом наперёд.