W GitLabie wykryto krytyczną lukę CVE-2026-110264, która pozwala nieautoryzowanemu użytkownikowi na zdalne wykonanie dowolnego kodu (RCE). Problem wynika z przepełnienia liczby całkowitej podczas kompilacji specjalnie przygotowanych wyrażeń regularnych w silniku Onigmo, który jest częścią biblioteki org-ruby.
Podatność ma charakter niezwykle poważny, ponieważ dotyczy niemal wszystkich wersji self-managed od wydania GitLab 7.0 w 2014 roku. Co istotne, administratorzy, którzy niedawno wdrożyli poprawkę na inną lukę (CVE-2026-97229), nadal pozostają narażeni na ten atak i muszą wykonać aktualizację ponownie.
Obecnie nie ma potwierdzonych informacji o aktywnym wykorzystywaniu tej luki w terenie, a błąd nie widnieje jeszcze w katalogu CISA. GitLab nie zaproponował żadnego tymczasowego obejścia, dlatego jedyną skuteczną metodą ochrony jest natychmiastowa aktualizacja o bezpieczne wersje.
