CVE-2026-110264 (CVSS 10.0)

Destinatários: Gestores de TI, Analistas e Equipes de Segurança da Informação, administradores de plataformas DevOps e equipes de desenvolvimento dos órgãos do SISP que operam instâncias GitLab self-managed (CE ou EE), expostas à internet ou acessíveis apenas pela rede interna ou VPN.

Resumo:
Em 21/10/2026 a GitLab publicou um patch release crítico que corrige a CVE-2026-110264 (CVSS 10.0, vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). A falha é um estouro de inteiro (integer overflow) na compilação de expressões regulares especialmente construídas. Segundo o fabricante, ela permite que um usuário não autenticado execute código arbitrário no servidor sob certas condições, que o GitLab não detalhou. Todas as versões self-managed do GitLab CE/EE desde a 7.0 (2014) estão no intervalo afetado.

Mecanismo: O aviso do GitLab não descreve o vetor de exploração. O Onigmo, motor de regex do Ruby embarcado nos pacotes do GitLab, aparece no nome de uma das duas regras de detecção publicadas pelo fabricante, e o aviso lista correções no Ruby ("Ruby regexp repeat ID overflow patch"). Análises independentes que reproduzem as regras TLDR do GitLab indicam como vetor a renderização de arquivos Org mode (.org) pela biblioteca org-ruby: o conteúdo da linha #+TODO: é repassado sem escape a Regexp.new e, acima de 32.767 repetições, o identificador interno de repetição, armazenado como inteiro de 16 bits com sinal, transborda e gera escrita fora dos limites durante o casamento do padrão, com potencial de execução de código como o usuário git. Segundo essas análises, um usuário não autenticado só precisa que o arquivo malicioso esteja em um projeto público renderizado pela instância. Esses detalhes não foram confirmados pelo fabricante.

Correção: As versões corrigidas são 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13. GitLab.com já está corrigido, assim como instâncias GitLab Dedicated em 19.3.5-internal0, 19.4.2-internal0 ou posteriores. Segundo análise independente do commit do Omnibus GitLab, a correção no Ruby empacotado é um backport da correção upstream "Reject overflowed repeat/null-check IDs in huge regexps" (ruby/ruby PR #16801).

Situação em 22/10/2026: O fabricante não reporta exploração ativa, e a CVE não consta no catálogo CISA KEV. O CERT-EU (Security Advisory 2026-019) recomenda priorizar ativos expostos à internet e avaliar se houve comprometimento. Na data de redação deste alerta não havia registro da CVE no NVD nem no cve.org, e a única pontuação disponível é a do GitLab. Esses dados mudam rapidamente. A falha foi reportada pelo pesquisador "joaxcar" via HackerOne. O GitLab informa que as issues de segurança se tornam públicas 90 dias após o lançamento.

IMPACTO

Ataque remoto, sem credenciais e sem interação de usuário, segundo o vetor CVSS. A exploração bem-sucedida permite execução de código no servidor GitLab, em tese com os privilégios da conta de serviço. Como a plataforma concentra código-fonte, segredos de CI/CD, tokens e chaves de deploy, o comprometimento tem alto potencial de propagação:

Exfiltração e adulteração de repositórios, incluindo inserção de código malicioso na cadeia de suprimento de software.
Roubo de variáveis de CI/CD, tokens de runners, tokens de acesso e chaves SSH, com movimentação lateral para ambientes de homologação, produção e nuvem.
Manipulação de pipelines e runners para execução de comandos em outros sistemas.
Indisponibilidade ou destruição de dados da plataforma.

A superfície é ampla: a Shadowserver contabiliza mais de 2.700 instâncias GitLab CE expostas na internet, segundo a BleepingComputer, que não informa quantas já foram corrigidas. Desde novembro de 2021 a CISA sinalizou cinco falhas do GitLab como exploradas em ataques, uma delas em campanhas de ransomware, o que demonstra o interesse recorrente de atores de ameaça pela plataforma.

AÇÕES RECOMENDADAS

Ação imediata: Atualizar todas as instâncias GitLab self-managed para a versão corrigida da linha em uso, priorizando as expostas à internet e as que hospedam projetos públicos:

Linha	Vulnerável	Atualizar para	Outras CVEs do pacote	Migrações do banco
19.5	< 19.5.1	19.5.1	Corrigidas	Não
19.4	< 19.4.3	19.4.3	Corrigidas	Regulares + Pós-deploy
19.3	< 19.3.6	19.3.6	Corrigidas	Regulares
19.2	< 19.2.9	19.2.9	Não (só a crítica)	Não
19.1	< 19.1.9	19.1.9	Não (só a crítica)	Não
19.0	< 19.0.10	19.0.10	Não (só a crítica)	Não
7.0 a 18.11	< 18.11.13	18.11.13	Não (só a crítica)	Não

Fonte: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/

Planejar a janela de manutenção: O patch inclui migrações de banco de dados (regulares na 19.4.3 e na 19.3.6, e pós-deploy na 19.4.3). Em instâncias de nó único há indisponibilidade até a conclusão das migrações. Instâncias multi-nó podem atualizar sem indisponibilidade seguindo o procedimento zero-downtime (https://docs.gitlab.com/update/zero_downtime/). Respeitar as paradas obrigatórias do upgrade path ao saltar várias versões.
Até a aplicação do patch, como paliativo (o fabricante não publicou workaround): restringir o acesso à instância por VPN, ACL ou lista de IPs permitidos e reduzir a visibilidade de projetos públicos para interna ou privada. Essas medidas são apenas compensatórias e reduzem a superfície não autenticada, mas não eliminam a vulnerabilidade e não substituem a atualização.
Inventariar as instâncias do órgão, inclusive homologação e as mantidas por equipes de desenvolvimento, e confirmar a versão de cada uma.
Quem estiver em 19.2 ou anterior: aplicar o backport agora e planejar a migração para uma linha suportada (19.3 ou superior).
Confirmar a versão de cada instância e comparar com a versão corrigida da sua linha. Identificar instâncias com projetos públicos, cadastro aberto ou acesso anônimo.

IMPORTANTE

Atenção: órgãos que atualizaram para 19.4.2, 19.3.5 ou 19.2.8 em 12/10/2026 (correção da CVE-2026-97229) continuam vulneráveis à CVE-2026-110264. Essas versões estão dentro do intervalo afetado.

Segundo análises independentes que citam o guia de detecção do GitLab, uma exploração bem-sucedida não gera crash de forma confiável. Ausência de alertas nas duas regras não comprova que a instância está íntegra. Após atualizar, revisar a atividade anterior ao patch.
Linhas 19.2 e anteriores recebem só a correção crítica. As outras 11 vulnerabilidades do pacote (2 altas, 5 médias, 4 baixas) só foram corrigidas em 19.3.6, 19.4.3 e 19.5.1. Entre as altas, a CVE-2026-15723 (CVSS 8.2) permite tomar contas LDAP quando OmniAuth-SAML e auto-linking LDAP estão ativos.
Considerando a recorrência recente de correções relacionadas ao processamento de expressões regulares, recomenda-se acompanhar os próximos patch releases e comunicados de segurança do GitLab.
Instalações a partir do código-fonte, com Ruby compilado manualmente ou do sistema, podem exigir correção separada no runtime do Ruby. Segundo análise independente, a correção upstream existe apenas no branch principal do Ruby, sem backport nos ramos 3.3, 3.4 e 4.0. Recomendamos verificar com o fabricante como corrigir esses ambientes.
Há repositórios públicos que se apresentam como exploit desta CVE e que não foram validados. PoCs falsos distribuindo malware contra profissionais de segurança são um padrão já documentado. Não executar em ambiente corporativo.
Ausência de alertas não prova que a instância está íntegra. Após atualizar, revise a atividade anterior ao patch usando as duas detecções que o GitLab publicou para instâncias self-managed (formato Sigma, aplicadas aos logs da aplicação, no framework TLDR): Onigmo native worker crash e Org mode render error burst. O GitLab não publicou indicadores de comprometimento (IoCs) para esta CVE.

REFERÊNCIAS

Fabricante e órgãos de resposta:

GitLab: Critical Patch Release 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/
GitLab TLDR: regra Org mode render error burst
https://gitlab.com/gitlab-security-oss/tldr/-/blob/main/Detections/platforms/GitLab/Vulnerability%20Detections/org_mode_render_error_burst.md
GitLab TLDR: regra Onigmo native worker crash
https://gitlab.com/gitlab-security-oss/tldr/-/blob/main/Detections/platforms/GitLab/Vulnerability%20Detections/onigmo_native_worker_crash.md
CERT-EU: Security Advisory 2026-019
https://cert.europa.eu/publications/security-advisories/2026-019/
Ruby: PR #16801, Reject overflowed repeat/null-check IDs in huge regexps
https://github.com/ruby/ruby/pull/16801
GitLab: Upgrade paths
https://docs.gitlab.com/update/upgrade_paths/

Imprensa técnica especializada:

BleepingComputer: GitLab warns of new max severity code execution vulnerability
https://www.bleepingcomputer.com/news/security/gitlab-warns-of-new-max-severity-code-execution-vulnerability/
The Hacker News: Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE
https://thehackernews.com/2026/10/critical-gitlab-flaw-cvss-100-could.html
https://www.rescana.com/post/gitlab-cve-2026-110264-unauthenticated-rce-october-2026
https://www.heise.de/en/news/GitLab-fixes-critical-security-flaw-and-11-other-vulnerabilities-11496649.html

Em caso de dúvidas ou identificação de incidentes relacionados, entre em contato com o CISC GOV.BR pelo endereço cisc@gestao.gov.br.

Vulnerabilidade crítica de execução remota no Gitlab

Links de compartilhamento em redes sociais