GitLab crítico: atualize sua instância
Falha nota 10 permite execução de código sem login em instalações próprias do GitLab.
Resumo rapido
O GitLab corrigiu a CVE-2026-110264, falha crítica com nota CVSS 10.0. O problema alcança instalações self-managed desde a versão 7.0, lançada em 2014. O risco é alto porque o ataque parte da rede, sem credenciais e sem qualquer ação do usuário.
Neste artigo voce vai aprender:
- Qual é o impacto da CVE-2026-110264 no GitLab self-managed.
- Quais versões receberam correção oficial.
- Por que servidores de CI/CD exigem prioridade na atualização.
- Quais sinais podem indicar tentativa de exploração ou instabilidade.
- Como organizar uma resposta prática sem depender de contorno.
GitLab corrige falha nota 10.0 em instalações próprias
Em 21 de outubro, o GitLab publicou correções para a vulnerabilidade crítica CVE-2026-110264. A nota CVSS atribuída foi 10.0, o teto da escala, porque a falha abre caminho para execução de código em instalações próprias do GitLab sem nenhuma autenticação.
O problema alcança as edições Community e Enterprise em todas as versões a partir da 7.0. Ou seja: tanto ambientes self-managed antigos quanto instalações recentes precisam ser avaliados. O GitLab.com já opera em versão corrigida, e tenants do GitLab Dedicated receberam o conjunto de correções a partir de 19.3.5-internal0 e 19.4.2-internal0.
Estouro de inteiro na compilação de expressões regulares
A causa informada é um estouro de inteiro durante a compilação de expressões regulares. Em linguagem direta: uma expressão construída de forma maliciosa faz o componente responsável pelo processamento ultrapassar um limite esperado e, sob certas condições, executar código no servidor.
O que mais pesa aqui é o caminho do ataque. Ele parte da rede, sem usuário logado e sem interação de uma vítima. Para empresas, o estrago potencial é grande, já que o GitLab costuma concentrar pipelines, credenciais de nuvem, chaves e processos de assinatura de artefatos enviados para produção.
Como saber se a sua instância está exposta
O primeiro passo é confirmar se a instalação é self-managed e qual versão está rodando. As versões corrigidas são 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13.
Atenção a um detalhe que gera confusão: quem aplicou apenas o pacote crítico de 12 de outubro não está protegido contra esta falha. Aquele pacote tratava a CVE-2026-97229, e as correções atuais ficam um patch acima.
Para quem ainda não consegue atualizar, o GitLab publicou regras de detecção voltadas a dois comportamentos:
- travamento do compilador de expressões regulares;
- erros repetidos na renderização de marcação.
Sem contorno disponível, o patch é a única saída
A recomendação principal é aplicar a versão corrigida correspondente ao seu ramo. Não existe contorno publicado, e controles compensatórios não substituem a atualização em uma falha explorável sem credencial.
Planeje a janela com cuidado. Conforme o aviso, a atualização inclui migrações de banco e provoca indisponibilidade em instâncias de nó único. Antes de começar, confirme backup, responsáveis, tempo de parada aceitável e plano de retorno.
- Priorize ambientes expostos à rede e usados por times de desenvolvimento.
- Revise logs e alertas de travamento ou erros em série.
- Após atualizar, valide pipelines, integrações e permissões sensíveis.
Checklist pratico
- Identifique a versão do GitLab self-managed e compare com a lista de versões corrigidas.
- Agende a atualização considerando migração de banco e possível indisponibilidade em nó único.
- Monitore travamentos do compilador de expressões regulares e erros repetidos de renderização.
- Revise segredos, credenciais de nuvem e permissões usadas em pipelines críticos.
- Documente a correção aplicada para auditoria, gestão de risco e continuidade operacional.
Perguntas frequentes
A falha já está sendo explorada?
Até 22 de outubro, não havia indicação de exploração conhecida. A falha também ainda não constava no NVD nem na lista de vulnerabilidades exploradas da CISA.
O GitLab.com está vulnerável?
Pelas informações disponíveis, o GitLab.com já roda uma versão corrigida. A ação imediata se concentra nas instalações self-managed.
Existe alguma solução temporária sem atualizar?
Não há contorno disponível. As regras de detecção ajudam a monitorar sinais suspeitos, mas quem elimina o risco é a versão corrigida.
Proteja sua empresa com a LC SEC
Se sua empresa usa GitLab self-managed, a LC SEC pode apoiar na priorização do risco, revisão de exposição, validação de correção e monitoramento de sinais suspeitos.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://boletimsec.com/falha-critica-no-gitlab-permite-execucao-de-codigo-sem-autenticacao/
Compartilhe nas redes sociais:
