Разработчики GitLab выпустили экстренные патчи для критической уязвимости CVE-2026-110264, получившей максимальные 10,0 баллов по шкале CVSS. Проблема позволяет удалённо выполнить произвольный код на сервере без прохождения аутентификации.

Уязвимость затрагивает все self-managed инсталляции GitLab начиная с версии 7.0, которая вышла в 2014 году. Таким образом, баг оставался незамеченным около 12 лет.

По данным исследователей, эксплуатация не требует никаких учётных данных — достаточно сетевого доступа к уязвимому сервису. Вектор атаки сетевой, сложность эксплуатации низкая, что и обусловило максимальную оценку.

Патчи уже доступны в свежих релизах GitLab. Администраторам self-managed инсталляций рекомендуется обновиться как можно скорее, поскольку публичного эксплойта на момент публикации не зафиксировано, но он может появиться в ближайшее время.

Облачные инсталляции GitLab.com, по заявлению компании, уже защищены. Остальным пользователям стоит проверить версию и применить обновление в приоритетном порядке.