GitLab vydal opravu další kritické zranitelnosti, která mohla za určitých podmínek umožnit spuštění libovolného kódu na serveru. Chyba CVE-2026–110264 se týká kompilátoru regulárních výrazů používaného v GitLabu a dostala nejvyšší možné hodnocení CVSS 10,0.

Příčinou je přetečení integeru (celého čísla) při kompilaci speciálně upraveného regulárního výrazu. Pokud se zranitelnost podaří zneužít, útočník může spustit kód na serveru bez přihlášení. GitLab však upozorňuje, že možnost útoku závisí na konkrétních podmínkách a samotné hodnocení CVSS neznamená, že každý nepřihlášený uživatel může chybu jednoduše zneužít v libovolné instalaci.

Zranitelnost se týká GitLabu Community Edition i Enterprise Edition. Podle bezpečnostního oznámení jsou ohroženy všechny verze od 7.0, které nejsou aktualizované na některé z opravených vydání: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 nebo 18.11.13.

Jde o další chybu ve stejné komponentě, v níž GitLab před třemi dny opravil zranitelnost CVE-2026–97229. Nová chyba má jiné označení a GitLab pro ni vydal další bezpečnostní aktualizaci. Správci by proto měli kontrolovat konkrétní číslo své verze a nespoléhat na to, že instalace opravená v říjnu už obsahuje i tuto záplatu.

GitLab doporučuje samostatně provozované instance aktualizovat bez odkladu. GitLab.com je podle firmy opravený a zákazníci služby GitLab Dedicated nemusejí podnikat žádné kroky.