GitLab hat am 21. Oktober eine Sicherheitslücke mit der maximalen CVSS-Bewertung 10,0 geschlossen, über die Angreifer unter bestimmten Bedingungen ohne Anmeldung Code auf einem selbstverwalteten Server ausführen können. Betroffen sind Release-Zweige bis zurück zu GitLab 7.0. Betreiber müssen ihre Instanzen auf eine korrigierte Version aktualisieren; für GitLab.com ist laut Unternehmen keine Kundenaktion erforderlich.

Die als CVE-2026-110264 geführte Lücke liegt im Regular Expression Compiler. Ursache ist ein Integer-Überlauf beim Kompilieren eines speziell präparierten regulären Ausdrucks. Der betroffene Compiler verarbeitet und prüft reguläre Ausdrücke, die in Konfigurationsdateien verwendet werden. Welche zusätzlichen Bedingungen ein Angreifer erfüllen muss, hat GitLab nicht offengelegt; deshalb lässt sich eine Betroffenheit nicht zuverlässig allein anhand der Konfiguration ausschließen.

Für die Community Edition und Enterprise Edition nennt GitLab die Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 als behoben. Die Korrektur reicht damit über die üblichen aktuellen Release-Zweige hinaus. Das ist besonders wichtig für Betreiber, die bereits am 12. Oktober aktualisiert hatten: Die damalige Korrektur deckte nach den vorliegenden Angaben nur Versionen ab 19.2 ab.

Administratoren selbstverwalteter Installationen sollten daher den tatsächlich laufenden Release-Zweig prüfen und auf die jeweils genannte Fix-Version oder eine neuere Version aktualisieren. Einen belastbaren Zwischenweg nennt GitLab nicht; der Auszug beschreibt das Update als einzigen sicheren Schutz. GitLab.com läuft bereits auf einer korrigierten Version. Für GitLab Dedicated gelten die in der Warnung genannten internen Versionen 19.3.5-internal0 und 19.4.2-internal0 oder höher als bereits behoben.

Bei der Wartungsplanung müssen Betreiber die Topologie berücksichtigen. Die Releases 19.4.3 und 19.3.6 enthalten Datenbankänderungen, die auf einem Einzelknoten-Server während des Upgrades eine Unterbrechung verursachen können. In Mehrknoten-Umgebungen beschreibt GitLab dagegen ein Verfahren für Updates ohne Ausfallzeit. Die Quelle berichtet bislang außerdem von keinen Anzeichen dafür, dass diese konkrete Lücke für Angriffe verwendet wurde; das ändert nichts an der Dringlichkeit der Aktualisierung, weil die Schwachstelle unauthentifizierte Codeausführung ermöglichen kann.

GitLab hat zusätzlich zwei Erkennungsregeln veröffentlicht, mit denen selbstverwaltete Administratoren in den Anwendungsprotokollen nach möglichen Ausnutzungsversuchen suchen können. Sie heißen „Onigmo native worker crash“ und „Org mode render error burst“. Diese Suche ergänzt das Update, ersetzt es aber nicht.

Quellen

• GitLab warns of new max severity code execution vulnerability
• Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases