Alerta de Vulnerabilidade - GitLab CE/EE

Vulnerabilidade de integer overflow no compilador de expressões regulares do GitLab Community Edition e Enterprise Edition, com o identificador CVE-2026-110264/EUVD-2026-107696, divulgada pelo projeto a 21 de outubro de 2026 [1][2]. A compilação de uma expressão regular especialmente construída provoca um integer overflow que permite a um utilizador não autenticado executar código arbitrário no servidor [1][2].

São afetadas as seguintes versões [1][2]:

• GitLab CE/EE 7.0 a 18.11.x: versões anteriores à 18.11.13
• GitLab CE/EE 19.0.x: versões anteriores à 19.0.10
• GitLab CE/EE 19.1.x: versões anteriores à 19.1.9
• GitLab CE/EE 19.2.x: versões anteriores à 19.2.9
• GitLab CE/EE 19.3.x: versões anteriores à 19.3.6
• GitLab CE/EE 19.4.x: versões anteriores à 19.4.3
• GitLab CE/EE 19.5.x: versões anteriores à 19.5.1

O GitLab.com utiliza já a versão corrigida. Os tenants GitLab Dedicated nas versões 19.3.5-internal0 e 19.4.2-internal0 ou posteriores incluem já a correção e não exigem ação [1].

A exploração é remota e não requer autenticação, privilégios nem interação do utilizador. O atacante obtém a execução de código arbitrário no servidor, com um impacto que se estende para além da aplicação, correspondendo ao comprometimento total da instância e dos dados nela alojados, incluindo o código-fonte dos repositórios e as credenciais armazenadas [1][2].

Recomenda-se a atualização imediata para a versão corrigida da linha em uso: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13 [1].

Medidas adicionais recomendadas:

• Utilizar as deteções disponibilizadas pelo GitLab em código aberto, designadas “Onigmo native worker crash” e “Org mode render error burst”, para identificar tentativas de exploração nas instâncias self-managed [1][3];
• Planear a janela de atualização tendo em conta que as instâncias single-node ficam indisponíveis durante o processo, porque as migrações de base de dados têm de concluir antes do arranque do GitLab. As instâncias multi-node podem ser atualizadas sem indisponibilidade [1];
• As instalações em versões anteriores à 18.11 têm de migrar para uma versão com correção disponível [1];
• Restringir o acesso à instância a partir da Internet enquanto a atualização não estiver concluída, dado que a exploração não requer autenticação [1];
• Aplicar as restantes correções do mesmo patch release, que inclui doze vulnerabilidades, entre as quais uma de autenticação incorreta no encadeamento entre OmniAuth e LDAP, com severidade alta [1].