GitLab heeft beveiligingspatches uitgebracht voor een zeer ernstige fout in de Regular Expression Compiler. Het lek stelt aanvallers in staat op afstand willekeurige code uit te voeren.
De kwetsbaarheid staat volgens BleepingComputer geregistreerd als CVE-2026-110264 en werd gemeld via het HackerOne-bugbountyprogramma van GitLab. Het lek is het gevolg van een integer-overflow-kwetsbaarheid in de Regular Expression Compiler van GitLab. Dit is een achtergrondengine die reguliere expressies in configuratiebestanden parseert en valideert.
GitLab heeft de kwetsbaarheid verholpen in de versies 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 en 18.11.13 van GitLab Community Edition (CE) en Enterprise Edition (EE). Beheerders wordt aangeraden instances onmiddellijk te patchen.
“We hebben een probleem verholpen waardoor een niet-geauthenticeerde gebruiker onder bepaalde omstandigheden willekeurige code op de GitLab-server had kunnen uitvoeren als gevolg van een integer-overflow bij het compileren van een speciaal vervaardigde reguliere expressie,” meldt GitLab.
“We raden ten zeerste aan dat alle installaties die een versie draaien die door de hieronder beschreven problemen wordt getroffen, zo snel mogelijk worden geüpgraded naar de nieuwste versie. [..] GitLab.com draait al de gepatchte versie. GitLab Dedicated-tenants die 19.3.5-internal0 en 19.4.2-internal0 of later draaien, bevatten deze oplossingen al. Beheerders van deze omgevingen hoeven geen actie te ondernemen.”
Beveiligingsorganisatie Shadowserver houdt nu meer dan 2.700 GitLab Community Edition-instanties bij die via het internet bereikbaar zijn. Het geeft echter geen informatie over hoeveel daarvan honeypots zijn of al beveiligd zijn tegen aanvallen.
GitLab meldt regelmatig kwetsbaarheden
GitLab waarschuwde klanten tien dagen geleden voor een ander ernstig beveiligingslek voor het op afstand uitvoeren van code (CVE-2026-97229) met een CVSS-basisscore van 10/10 in de CI/CD Regular Expression Compiler. Beide kwetsbaarheden werden gemeld door beveiligingsonderzoeker ‘joaxcar’.
Vorige maand heeft het bedrijf een ander GitLab CE/EE-beveiligingslek met maximale ernst (CVE-2026-85706) verholpen, waardoor niet-geauthenticeerde aanvallers gevoelige gegevens, waaronder inloggegevens en andere geheime informatie, van kwetsbare servers konden lezen.
Een dag later voegde het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-85706 toe aan zijn lijst van actief misbruikte kwetsbaarheden en gaf het federale instanties de opdracht om hun systemen binnen drie dagen te beveiligen.
Sinds november 2021 heeft CISA vijf GitLab-kwetsbaarheden gesignaleerd die in het wild worden gebruikt, waaronder één die bij ransomware-aanvallen werd misbruikt.