RECOMENDAÇÃO 19/2026

[TLP:CLEAR]

1. O CTIR Gov alerta para a existência de múltiplas vulnerabilidades no GitLab Community Edition (CE) e Enterprise Edition (EE), destacando-se a falha crítica CVE-2026-110264 (CVSS 10.0). Esta vulnerabilidade permite que um atacante não autenticado execute código arbitrário (RCE) no servidor devido a um estouro de inteiro (Integer Overflow) no compilador de expressões regulares. Outras falhas de alto impacto incluem a CVE-2026-15723 (CVSS 8.2), que permite a tomada de controle de contas no fluxo OmniAuth-LDAP, e a CVE-2026-112212 (CVSS 7.5), referente a envenenamento de cache em endpoints OAuth/OIDC.

2. As vulnerabilidades afetam as seguintes versões do GitLab CE e EE:

• Versões a partir da 7.0 anteriores à 18.11.13;
• Versões a partir da 19.0 anteriores à 19.0.10;
• Versões a partir da 19.1 anteriores à 19.1.9;
• Versões a partir da 19.2 anteriores à 19.2.9;
• Versões a partir da 19.3 anteriores à 19.3.6;
• Versões a partir da 19.4 anteriores à 19.4.3;
• Versões a partir da 19.5 anteriores à 19.5.1.

3. A exploração bem-sucedida destas vulnerabilidades pode resultar em grave comprometimento da infraestrutura, englobando:

• execução remota de código (RCE) de forma não autenticada, conferindo ao atacante controle total sobre o servidor GitLab e o sistema operacional subjacente;
• tomada de controle de contas de usuários (Account Takeover) sem necessidade de interação do usuário alvo, caso instâncias utilizem OmniAuth e LDAP integrados;
• redirecionamento malicioso de fluxos de autenticação OAuth/OIDC para servidores controlados por cibercriminosos;
• exfiltração de código-fonte proprietário, acesso indevido a variáveis de CI/CD, tokens e segredos de infraestrutura;
• quebra de políticas de aprovação de merge requests, exclusão de registros de vulnerabilidade e exposição de credenciais internas do servidor.

4. Recomenda-se às instituições e órgãos da Administração Pública a adoção imediata das seguintes medidas de mitigação:

• atualizar o GitLab CE/EE para uma das versões corrigidas lançadas, patches 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13, de acordo com a ramificação em uso na instituição;
• monitorar a telemetria e os logs de segurança em busca de indicadores de tentativa de exploração da CVE-2026-110264, com atenção especial para crashes do processo Onigmo native worker ou picos anômalos de erros Org mode render;
• prever janela de indisponibilidade em ambientes durante o procedimento de atualização para as versões 19.4.3 e 19.3.6, visto que demandam execuções de migrações obrigatórias de banco de dados.

5. Referências adicionais e informações detalhadas sobre o incidente e as vulnerabilidades podem ser consultadas em:

• Comunicado oficial do GitLab: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/
• CVE-2026-110264: https://nvd.nist.gov/vuln/detail/CVE-2026-110264
• CVE-2026-15723: https://nvd.nist.gov/vuln/detail/CVE-2026-15723
• CVE-2026-112212: https://nvd.nist.gov/vuln/detail/CVE-2026-112212

6. Comunicação de incidentes: Caso seja identificada qualquer atividade anômala, tentativa de acesso não autorizado ou suspeita de comprometimento relacionado a esta vulnerabilidade, o órgão deve reportar imediatamente ao CTIR Gov pelo e-mail ctir@ctir.gov.br.

[TLP:CLEAR]