W GitLabie wykryto krytyczną podatność CVE-2026-110264 o maksymalnej ocenie CVSS 10.0. Błąd wynika z przepełnienia liczby całkowitej (integer overflow) podczas kompilacji specjalnie przygotowanych wyrażeń regularnych przez silnik Onigmo. Luka jest niezwykle poważna, ponieważ dotyczy wszystkich wersji self-managed od 7.0 wydanej w 2014 roku.
Problem ma charakter głęboki, ponieważ dotyczy silnika Onigmo (Ruby), który GitLab dołącza do swoich pakietów. Poprawki zostały wydane 21 października i obejmują szeroki zakres wersji, w tym backporty dla starszych gałęzi, takich jak 18.11.13, 19.0.10, 19.1.9 oraz 19.2.9. Należy zauważyć, że aktualizacja z 12 października nie chroniła wszystkich użytkowników, gdyż obejmowała tylko wersje 19.2 i nowsze.
Obecnie nie ma dowodów na to, by luka została wykorzystana w rzeczywistych atakach. GitLab nie podał jednak konkretnych warunków wstępnych niezbędnych do przeprowadzenia ataku, co oznacza, że administratorzy nie mogą polegać na konfiguracji jako środku zapobiegawczym. Jedyną skuteczną metodą ochrony jest natychmiastowa aktualizacja oprogramowania.
Podczas aktualizacji do wersji 19.4.3 lub 19.3.6 należy liczyć się z przestojem w pracy serwerów jednowęzłowych ze względu na zmiany w bazie danych. W konfiguracjach wielowęzłowych można zastosować procedurę zero-downtime. GitLab udostępnił również reguły detekcji w formacie Sigma, aby pomóc w monitorowaniu prób eksploatacji.
