Falha crítica no GitLab (CVSS 10.0) permite execução remota de código sem autenticação em 12 anos de lançamentos

O GitLab lançou uma correção crítica para uma vulnerabilidade de severidade máxima (CVSS 10.0) que pode permitir que um atacante não autenticado execute código arbitrário em servidores autogerenciados. A falha, rastreada como CVE-2026-110264, afeta todas as versões do GitLab desde a 7.0, lançada em 2014, devido a um estouro de inteiro no mecanismo de expressões regulares Onigmo do Ruby.

A correção está disponível em várias versões, incluindo 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 e 19.5.1. Administradores que aplicaram a atualização de 12 de outubro ainda estão em risco, pois aquela correção cobria apenas as versões 19.2 e posteriores. O GitLab não relata evidências de exploração e o GitLab.com já executa a versão corrigida.

Instalações autogerenciadas devem atualizar imediatamente, pois não há solução alternativa. O GitLab também publicou regras de detecção para ajudar a identificar tentativas de exploração. Para acesso remoto seguro, considere um serviço de VPN confiável como o ProtonVPN.