Jeśli firma utrzymuje własny serwer GitLab, jego aktualizacja wymaga pilnej uwagi. CERT Polska ostrzega przed podatnościami umożliwiającymi m.in. wykonanie kodu bez logowania. GitLab.com ma już wdrożone poprawki, jak podaje producent.
Na czym polega zagrożenie
W biuletynie GitLaba krytyczna luka CVE-2026-110264 otrzymała ocenę 10,0 w skali CVSS. Błąd przy przetwarzaniu specjalnie przygotowanego wyrażenia regularnego może, w określonych warunkach, pozwolić nieuwierzytelnionej osobie uruchomić kod na serwerze. Dotyczy edycji Community Edition i Enterprise Edition.
Wersje z poprawką krytycznej luki
CERT wymienia poniższe wydania. Administrator powinien sprawdzić swoją gałąź i wybrać aktualną wersję zawierającą poprawkę, z uwzględnieniem wymaganej ścieżki aktualizacji.
| Gałąź GitLaba | Wydanie z poprawką |
|---|---|
| 19.5 | 19.5.1 |
| 19.4 | 19.4.3 |
| 19.3 | 19.3.6 |
| 19.2 | 19.2.9 |
| 19.1 | 19.1.9 |
| 19.0 | 19.0.10 |
| 18.11 | 18.11.13 |
Starsze instalacje nie są bezpieczne tylko dlatego, że nie znalazły się w tabeli. Producent podaje, że zakres tej luki sięga wersji 7.0. Poprawkę przeniesiono także do starszych gałęzi, lecz poszczególne inne podatności z biuletynu mają odrębne zakresy i poprawione wersje. Pełne informacje znajdują się w komunikacie GitLaba z 21 października.
Co powinien potwierdzić administrator
Zalecamy ustalić, kto utrzymuje firmową instancję, jaką wersję uruchamia i kiedy wykona aktualizację. Przed pracami należy zabezpieczyć kopię danych oraz konfiguracji, a po nich sprawdzić dostęp do repozytoriów i działanie używanych procesów CI/CD. Jeśli usługę obsługuje zewnętrzny dostawca, poproście o potwierdzenie wdrożenia poprawki.
GitLab udostępnia w biuletynie również reguły wykrywania prób wykorzystania luki. Warto przekazać je zespołowi bezpieczeństwa do przeglądu logów. Samo zainstalowanie aktualizacji nie rozstrzyga, czy wcześniej doszło do incydentu.
Źródło: CERT Polska / NASK, komunikat 197/2026 z 22.10.2026. Opracowanie Domenafirmy: skrót i redakcja własnymi słowami, uzupełnione zaleceniami dla firm oraz informacjami z podlinkowanego biuletynu producenta. Materiał CERT i jego opracowanie udostępniono na licencji CC BY-SA 4.0. Okładka: ilustracja koncepcyjna AI przygotowana dla Domenafirmy; nie jest materiałem CERT.