O GitLab publicou em 21 de outubro a correção de uma falha crítica que permite execução de código sem autenticação em instalações self-managed. Identificada como CVE-2026-110264, ela recebeu nota CVSS 10.0, a máxima da escala, e não tem contorno disponível.
A causa é um estouro de inteiro na compilação de expressões regulares. Segundo o aviso, uma expressão criada especificamente para isso faz o compilador transbordar e, sob certas condições, executar código no servidor. O ataque parte da rede, sem credencial e sem interação do usuário.
A falha está presente em todas as versões a partir da 7.0, lançada em 2014, tanto na edição Community quanto na Enterprise. As versões corrigidas são 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13.
Quem aplicou o pacote crítico de 12 de outubro não está coberto. Aquele conjunto corrigiu a CVE-2026-97229, também de nota 10.0 e também no tratamento de expressões regulares, mas atendeu apenas a 19.2 e versões posteriores. As correções de agora ficam um patch acima dele.
O GitLab.com já roda a versão corrigida, e os tenants do GitLab Dedicated a partir de 19.3.5-internal0 e 19.4.2-internal0 já receberam o conjunto. Para instalações próprias, a atualização inclui migrações de banco e provoca indisponibilidade em instâncias de nó único.
O pacote reúne 12 CVEs, e a crítica foi relatada pelo pesquisador joaxcar pelo programa de recompensas da empresa no HackerOne. Falha de nota máxima em servidor de CI/CD costuma entrar na frente da fila de correção, porque é nele que ficam as credenciais de nuvem e a assinatura dos artefatos que vão para produção.
Até 22 de outubro não havia relato de exploração, e a falha ainda não aparece no NVD nem na lista de vulnerabilidades exploradas da CISA. Para quem não consegue atualizar de imediato, o GitLab publicou duas regras de detecção, voltadas a travamento do compilador de expressões regulares e a erros em série na renderização de marcação.
