21 октября 2026 года GitLab выпустил версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 для GitLab Community Edition (CE) и Enterprise Edition (EE). Эти версии содержат важные исправления ошибок и уязвимостей, и GitLab настоятельно рекомендует всем самостоятельно управляемым установкам GitLab немедленно обновиться до одной из них. GitLab.com уже работает с исправленной версией. Арендаторы GitLab Dedicated, использующие версии 19.3.5-internal0 и 19.4.2-internal0 или более поздние, уже включают эти исправления и никаких действий предпринимать не нужно.
GitLab выпускает исправления уязвимостей в патч-релизах двух типов: плановых, которые публикуются дважды в месяц, во второй и четвёртый среды, и внеплановых критических патчах для уязвимостей высокой серьёзности. Информация о проблемах безопасности становится публичной в трекере задач через 90 дней после выпуска, в котором они были исправлены. GitLab заявляет, что привержен высочайшим стандартам безопасности для всех аспектов платформы, доступных клиентам или хранящих их данные.
Наиболее серьёзное исправление касается CVE-2026-110264 — целочисленного переполнения в компиляторе регулярных выражений. При определённых условиях оно могло позволить неаутентифицированному пользователю выполнить произвольный код на сервере GitLab. Уязвимость имеет оценку CVSS 10.0 и была сообщена через программу bug bounty HackerOne. Исправление перенесено в версии 18.11.13, 19.0.10, 19.1.9 и 19.2.9.
Другое исправление, CVE-2026-15723, устраняет проблему ненадлежащей аутентификации. Когда были включены автоматическое связывание OmniAuth SAML и LDAP, аутентифицированный пользователь мог захватить существующую учётную запись на базе LDAP без какого-либо участия цели, с оценкой CVSS 8.2. Затронутые версии охватывают диапазон от 10.1 до 19.5 до выхода исправленных релизов. GitLab также выпустил два обнаружителя угроз для самостоятельно управляемых инстансов, которые помогут выявлять попытки эксплуатации. Инфраструктура, управляемая GitLab, включая GitLab.com и GitLab Dedicated, остаётся защищённой.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing