Mô tả

Ngày 21/10/2026, GitLab phát hành bản vá khẩn cấp cho CVE-2026-110264, lỗi tràn số nguyên trong trình biên dịch biểu thức chính quy (dùng thư viện Onigmo trong Ruby) đi kèm GitLab. Khi biên dịch một biểu thức chính quy đặc biệt từ kẻ tấn công, lỗ hổng có thể cho phép thực thi mã tùy ý trên máy chủ GitLab mà không cần xác thực.

Khác với CVE-2026-97229 (vá ngày 12/10, khai thác qua regex trong cấu hình CI/CD), CVE-2026-110264 có đường tấn công khác và phạm vi rộng hơn nhiều: theo các phân tích công khai, lỗ hổng bị kích hoạt khi GitLab render một tệp Org-mode (.org) được tạo đặc biệt trong repository, khiến regex nguy hiểm được biên dịch. Vì vậy, các máy chủ đã vá CVE-2026-97229 ngày 12/10 vẫn bị ảnh hưởng và cần vá tiếp.

Lỗ hổng ảnh hưởng mọi phiên bản GitLab CE và EE kể từ 7.0 (năm 2014), tức khoảng 12 năm các bản phát hành; GitLab đã backport bản vá về tận nhánh 18.11. GitLab chưa công bố đầy đủ điều kiện tiên quyết để khai thác và không cung cấp biện pháp giảm thiểu thay thế, nâng cấp là cách khắc phục duy nhất.

- CVSS Score: 10.0

- Severity: Critical

- CWE-190: Integer Overflow

Phạm vi ảnh hưởng

Lỗ hổng ảnh hưởng GitLab CE/EE self-managed từ 7.0 trở đi. System Administrator cần rà soát và nâng cấp ngay lập tức. Phiên bản bị ảnh hưởng và phiên bản vá:

- GitLab 19.5.x: nâng cấp lên 19.5.1.

- GitLab 19.4.x: nâng cấp lên 19.4.3 (kèm database migration).

- GitLab 19.3.x: nâng cấp lên 19.3.6 (kèm database migration).

- GitLab 19.2.x / 19.1.x / 19.0.x: nâng cấp lên 19.2.9 / 19.1.9 / 19.0.10 (bản chỉ vá lỗi nghiêm trọng).

- GitLab 7.0 đến 18.11.x: nâng cấp lên 18.11.13 (bản backport chỉ vá lỗi nghiêm trọng); các nhánh cũ hơn 18.11 cần lên 18.11.13 hoặc nhánh mới hơn.

Lưu ý: GitLab.com đã được vá; GitLab Dedicated chạy 19.3.5-internal0, 19.4.2-internal0 trở lên không cần hành động thêm. Máy chủ đã vá CVE-2026-97229 (ngày 12/10) vẫn bị ảnh hưởng bởi CVE-2026-110264 và phải nâng cấp tiếp. Bản vá cho nhánh 19.4 và 19.3 có database migration.

Tác động

Lỗ hổng khai thác thành công có thể dẫn đến:

- Thực thi mã/lệnh tùy ý trên máy chủ GitLab mà không cần xác thực, qua việc render một tệp .org độc hại trong repository

- Truy cập mã nguồn, biến CI/CD, token, khóa bí mật và các thông tin xác thực lưu trên GitLab

- Chiếm quyền kiểm soát máy chủ, di chuyển ngang sang GitLab Runner và hạ tầng liên quan, thao túng pipeline dẫn đến rủi ro tấn công chuỗi cung ứng

Biện pháp khắc phục

- Nâng cấp GitLab CE/EE self-managed lên 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 hoặc 18.11.13 (tùy nhánh) ngay lập tức. GitLab không cung cấp workaround, nâng cấp là biện pháp khắc phục duy nhất. Lưu ý bản vá nhánh 19.4 và 19.3 có database migration: hệ thống single-node sẽ có downtime, hệ thống multi-node nên dùng quy trình zero-downtime upgrade

- Máy chủ đã vá CVE-2026-97229 ngày 12/10 vẫn phải nâng cấp tiếp vì CVE-2026-110264 là lỗ hổng riêng, đường tấn công khác

- Hạn chế truy cập từ Internet vào instance GitLab (VPN, allowlist IP) cho đến khi hoàn tất cập nhật bản vá

- Rà soát log và dấu hiệu bất thường. GitLab đã phát hành hai rule Sigma (framework TLDR) cho máy chủ self-managed: phát hiện tiến trình worker Onigmo bị crash (Onigmo native worker crash) và chuỗi lỗi render Org-mode (Org mode render error burst). Theo dõi thêm tiến trình lạ sinh từ GitLab và thay đổi bất thường trong repository

Tham khảo

https://docs.gitlab.com/releases/

https://thehackernews.com/2026/10/critical-gitlab-flaw.html

https://cybersecuritynews.com/12-year-old-gitlab-vulnerability/

https://nvd.nist.gov/vuln/detail/cve-2026-110264