GitLab corrige falha crítica que permite invasão sem login hoje

Segurança

Atualização urgente para servidores GitLab autogerenciados corrige vulnerabilidade grave de execução remota de código.

Leia também: Falha em skill da OpenAI expôs tokens de apps por dias

GitLab liberou nesta quarta-feira (21) uma atualização crítica que corrige a falha CVE-2026-110264, vulnerabilidade com nota máxima 10,0 na escala CVSS que permite a execução remota de código sem autenticação em servidores autogerenciados, afetando todas as versões da plataforma desde a 7.0 e obrigando administradores a atualizar imediatamente.

Falha permite invasão total sem login

De acordo com o aviso de segurança da empresa, a vulnerabilidade “… sob certas condições, poderia permitir que um usuário não autenticado execute código arbitrário no servidor devido a um estouro de inteiro durante a compilação de uma expressão regular especialmente criada.” O problema está no motor de expressões regulares Ruby Onigmo, incorporado e modificado pelo GitLab em seus próprios pacotes.

Na prática, a falha abre a porta para que um atacante assuma o controle completo do servidor, com possibilidade de roubo de código-fonte, interrupção de pipelines de integração contínua, vazamento de dados e movimentação lateral dentro da infraestrutura da empresa. Como atinge versões antigas e ambientes legados, o impacto é amplo em organizações de tecnologia, times DevOps e empresas que mantêm instalações autogerenciadas da plataforma.

A correção é necessária apenas para instalações autogerenciadas. A instância em nuvem GitLab.com já opera com a versão corrigida, assim como clientes da oferta dedicada que estejam nas versões internas indicadas pela empresa.

Atualização extraordinária em sete versões

A empresa já havia lançado um patch em 12 de outubro, mas ele cobria apenas versões a partir da 19.2. A liberação de hoje amplia o alcance da correção e atualiza simultaneamente sete versões, em um movimento incomum que inclui quatro versões antigas fora do ciclo normal de suporte: 18.11.13, 19.0.10, 19.1.9 e 19.2.9, além das versões atuais 19.3, 19.4 e 19.5.

Normalmente, o GitLab só mantém correções para o lançamento atual e os dois anteriores. O backport para versões antigas é reservado, segundo a própria empresa, a problemas considerados severos. “Não há solução alternativa além da atualização; o patch é a única proteção certa”, afirmou o GitLab no comunicado.

Mesmo administradores que aplicaram a atualização de 12 de outubro precisam atualizar de novo: a nova leva de versões corrigidas fica um nível acima dos builds anteriores, o que recoloca essas instalações no intervalo de atualização obrigatória.

Detecção e monitoramento de ataques

Até o momento, o GitLab diz não ter evidências públicas de exploração ativa da falha, e a vulnerabilidade não aparece no catálogo de brechas conhecidas como exploradas por órgãos de segurança internacionais. Ainda assim, a recomendação é de alerta máximo, dada a gravidade e a exposição de longo prazo, já que o bug está presente desde a linha 7.0.

Para apoiar equipes de segurança, a empresa publicou regras de detecção específicas, batizadas de “Onigmo native worker crash” e “Org mode render error burst”. Elas foram disponibilizadas no framework aberto TLDR, no formato Sigma, para que administradores possam aplicar diretamente sobre os logs de aplicação do GitLab e identificar eventuais tentativas de exploração ou comportamento anômalo.

Como o GitLab não detalhou as condições exatas necessárias para alcançar o compilador de expressões regulares vulnerável, administradores não conseguem se considerar fora de risco apenas com base em configuração. A orientação oficial é aplicar o patch em qualquer cenário de instalação autogerenciada.

Outras falhas corrigidas e impacto na operação

A mesma atualização de hoje corrige, no total, 11 vulnerabilidades, incluindo a CVE-2026-110264 classificada como crítica e outras dez falhas de alta, média e baixa gravidade. Entre elas estão problemas de autenticação que podem levar à tomada de contas em situações específicas (como a CVE-2026-15723, com nota 8,2) e uma vulnerabilidade de cache poisoning nos endpoints OAuth e OpenID Connect (CVE-2026-112212, nota 7,5), que permite desviar fluxos de login para servidores controlados por atacantes em ambientes com cache compartilhado.

O upgrade pode exigir planejamento. Em instalações de nó único, as versões 19.4.3 e 19.3.6 trazem mudanças de banco de dados que rodam durante a atualização e podem demandar tempo de inatividade até a conclusão do processo. Em ambientes multinódo, o GitLab orienta seguir o procedimento de atualização sem downtime, que permite aplicar o patch com impacto reduzido nas operações.

Entenda o contexto

O caso aumenta a pressão sobre o componente Onigmo, usado como motor de expressões regulares pela plataforma. “Esta é a quarta falha de execução de código no motor de expressões regulares reportada pelo pesquisador joaxcar em um mês.”, reconheceu o GitLab. As três vulnerabilidades anteriores atingiam apenas versões mais recentes, enquanto a CVE-2026-110264 é a primeira a alcançar linhas bem mais antigas.

A repetição de problemas no mesmo componente tende a forçar uma revisão mais profunda do Onigmo modificado e do processo de manutenção do código, além de reacender o debate sobre políticas de suporte prolongado e atualização em projetos amplamente usados por empresas, sobretudo aquelas que mantêm versões desatualizadas em produção.

Para administradores e equipes de segurança, a prioridade imediata é aplicar as novas versões corrigidas, revisar logs à luz das regras de detecção divulgadas e, quando necessário, conduzir auditorias em busca de sinais de comprometimento prévio.

Fonte: matéria original